| | | | | | | | |
|
| | Имя протокола | Тип события | Категория | Дата создания | Пользователь | Источник | Описание
|
| | Приложение | Внимание | 1 | 2020-02-17 15:16:47 | | ESENT | 640: Catalog Database (1600,D,35) Catalog Database: При проверке страницы заголовков в файле карты записи на диск C:\Windows\system32\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb.jfm возникла ошибка -1919. Файл карты записи на диск будет аннулирован. Дополнительные сведения: [SignDbHdrFromDb:Create time:00/00/1900 00:00:00.000 Rand:0 Computer:] [SignFmHdrFromDb:Create time:00/00/1900 00:00:00.000 Rand:0 Computer:] [SignDbHdrFromFm:Create time:02/17/2020 12:16:44.954 Rand:922883945 Computer:] [SignFmHdrFromFm:Create time:02/17/2020 12:16:46.528 Rand:4076625791 Computer:]
|
| | Приложение | Внимание | 1 | 2020-02-17 15:16:47 | | ESENT | 636: Catalog Database (1600,D,35) Catalog Database: Файл "C:\Windows\system32\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb.jfm" карты записи на диск будет удален. Причина: ReadHdrFailed.
|
| | Приложение | Внимание | 1 | 2020-02-17 15:16:47 | | ESENT | 640: Catalog Database (1600,D,35) Catalog Database: При проверке страницы заголовков в файле карты записи на диск C:\Windows\system32\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb.jfm возникла ошибка -1919. Файл карты записи на диск будет аннулирован. Дополнительные сведения: [SignDbHdrFromDb:Create time:00/00/1900 00:00:00.000 Rand:0 Computer:] [SignFmHdrFromDb:Create time:00/00/1900 00:00:00.000 Rand:0 Computer:] [SignDbHdrFromFm:Create time:02/17/2020 12:16:44.969 Rand:2892400545 Computer:] [SignFmHdrFromFm:Create time:02/17/2020 12:16:46.622 Rand:2250921378 Computer:]
|
| | Приложение | Внимание | 1 | 2020-02-17 15:16:47 | | ESENT | 636: Catalog Database (1600,D,35) Catalog Database: Файл "C:\Windows\system32\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb.jfm" карты записи на диск будет удален. Причина: ReadHdrFailed.
|
| | Приложение | Внимание | 1 | 2020-02-17 15:16:47 | | Windows Search Service | 1008: Служба Windows Search запускается и пытается удалить старый поисковый индекс (причина: Полный сброс индекса).
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:18:48 | | SecurityCenter | 16: Ошибка при изменении состояния Windows Defender на SECURITY_PRODUCT_STATE_ON.
|
| | Приложение | Ошибка | 1 | 2020-02-17 15:19:29 | | ESENT | 522: StartMenuExperienceHost (1272,P,98) TILEREPOSITORYS-1-5-21-16089801-1463091330-1395838223-1001: Попытка открыть устройство "\\.\C:", содержащее "C:\", завершилась с системной ошибкой 5 (0x00000005): "Отказано в доступе. ". Операция завершится с ошибкой -1032 (0xfffffbf8).
|
| | Приложение | Ошибка | 3 | 2020-02-17 15:19:29 | | ESENT | 455: StartMenuExperienceHost (1272,R,98) TILEREPOSITORYS-1-5-21-16089801-1463091330-1395838223-1001: Ошибка -1023 (0xfffffc01) при открытии файла журнала C:\Users\Leo\AppData\Local\TileDataLayer\Database\EDB.log.
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:20:10 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=TimerEvent
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:20:34 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:22:52 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:35:27 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:35:33 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:36:24 | Leo | Microsoft-Windows-AppModel-State | 11: Была сделана попытка загрузить программу, имеющую неверный формат.
|
| | Приложение | Ошибка | Нет | 2020-02-17 15:37:07 | | Steam Client Service | 1: Error: Failed to add firewall exception for C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe
|
| | Приложение | Ошибка | 100 | 2020-02-17 15:57:11 | | Application Error | 1000: Имя сбойного приложения: SecHealthUI.exe, версия: 10.0.18362.628, метка времени: 0x5e27c8f3 Имя сбойного модуля: combase.dll, версия: 10.0.18362.628, метка времени: 0x426a3928 Код исключения: 0xc0000005 Смещение ошибки: 0x000000000008c1ae Идентификатор сбойного процесса: 0x1564 Время запуска сбойного приложения: 0x01d5e59a25cb6632 Путь сбойного приложения: C:\Windows\SystemApps\Microsoft.Windows.SecHealthUI_cw5n1h2txyewy\SecHealthUI.exe Путь сбойного модуля: C:\Windows\System32\combase.dll Идентификатор отчета: 44e0020c-5039-4030-8aa2-cd28f0fcd507 Полное имя сбойного пакета: Microsoft.Windows.SecHealthUI_10.0.18362.449_neutral__cw5n1h2txyewy Код приложения, связанного со сбойным пакетом: SecHealthUI
|
| | Приложение | Ошибка | 101 | 2020-02-17 16:25:14 | | Application Hang | 1002: Программа dota2.exe версии 0.0.0.0 прекратила взаимодействие с Windows и была закрыта. Чтобы узнать, имеются ли дополнительные сведения о проблеме, просмотрите журнал проблем в разделе "Безопасность и обслуживание" в панели управления. Идентификатор процесса: 420 Время запуска: 01d5e59e0632124d Время завершения: 5 Путь к приложению: C:\Program Files (x86)\Steam\steamapps\common\dota 2 beta\game\bin\win64\dota2.exe Идентификатор отчета: 0d31e55b-252a-41c0-835e-421b6e9808af Полное имя пакета сбоя: ? Код приложения, связанного со сбойным пакетом: ? Тип зависания: Unknown
|
| | Приложение | Ошибка | Нет | 2020-02-17 20:12:06 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 20:12:17 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 20:12:24 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 20:12:34 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 21:07:41 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-17 21:07:46 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-17 23:28:19 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-17 23:28:24 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-18 11:52:17 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
|
| | Приложение | Ошибка | Нет | 2020-02-18 11:52:22 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-18 11:52:27 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-18 18:21:15 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 11:33:22 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=3
|
| | Приложение | Ошибка | Нет | 2020-02-19 11:33:29 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 11:33:32 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 17:57:03 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 17:57:05 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 22:00:08 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 22:42:45 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 23:06:33 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-19 23:06:38 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 23:21:07 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-19 23:21:09 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-19 23:50:29 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-19 23:50:34 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 00:19:42 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-20 00:19:46 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 11:01:47 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007139F Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 11:01:48 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
|
| | Приложение | Ошибка | Нет | 2020-02-20 11:01:51 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:14:33 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:14:35 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Внимание | Нет | 2020-02-20 12:15:41 | Leo | Microsoft-Windows-PerfProc | 2002: Не удалось открыть объект-задание \BaseNamedObjects\WmiProviderSubSystemHostJob для запроса доступа. Вызывающий процесс мог не иметь разрешения на выполнение этого задания. Первые четыре байта (DWORD) в разделе данных содержат код состояния.
|
| | Приложение | Ошибка | 101 | 2020-02-20 12:16:38 | | Application Hang | 1002: Программа SlimDrivers.exe версии 2.3.2.0 прекратила взаимодействие с Windows и была закрыта. Чтобы узнать, имеются ли дополнительные сведения о проблеме, просмотрите журнал проблем в разделе "Безопасность и обслуживание" в панели управления. Идентификатор процесса: 133c Время запуска: 01d5e7d6873fa5fd Время завершения: 4294967295 Путь к приложению: C:\Program Files (x86)\SlimDrivers\SlimDrivers.exe Идентификатор отчета: 1fe39104-74ff-493d-a613-8847075e55c3 Полное имя пакета сбоя: ? Код приложения, связанного со сбойным пакетом: ? Тип зависания: Top level window is idle
|
| | Приложение | Ошибка | 101 | 2020-02-20 12:21:45 | | Application Hang | 1002: Программа SlimDrivers.exe версии 2.3.2.0 прекратила взаимодействие с Windows и была закрыта. Чтобы узнать, имеются ли дополнительные сведения о проблеме, просмотрите журнал проблем в разделе "Безопасность и обслуживание" в панели управления. Идентификатор процесса: 2bac Время запуска: 01d5e7d6d8e6d6df Время завершения: 4294967295 Путь к приложению: C:\Program Files (x86)\SlimDrivers\SlimDrivers.exe Идентификатор отчета: fef66ea2-c7ea-4038-a02d-abf8c09c6c8f Полное имя пакета сбоя: ? Код приложения, связанного со сбойным пакетом: ? Тип зависания: Top level window is idle
|
| | Приложение | Внимание | Нет | 2020-02-20 12:22:07 | Leo | Microsoft-Windows-RestartManager | 10010: Не удалось перезапустить приложение "C:\Program Files\SlimCleaner Plus\UninstallStub.exe" (ИД процесса 6688) - 1.
|
| | Приложение | Внимание | Нет | 2020-02-20 12:22:16 | Leo | Microsoft-Windows-RestartManager | 10010: Не удалось перезапустить приложение "C:\Program Files (x86)\SlimDrivers\UninstallStub.exe" (ИД процесса 4832) - 1.
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:26:44 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:26:53 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:28:29 | | VSS | 13: Информация теневого копирования тома: не удается запустить COM-сервер с CLSID {4e14fba2-2e22-11d1-9964-00c04fbbb345} под именем CEventSystem. [0x8007045b, Идет завершение работы системы. ] ?
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:28:29 | | VSS | 8193: Ошибка теневого копирования тома: Непредвиденная ошибка при вызове подпрограммы CoCreateInstance.. hr = 0x8007045b, Идет завершение работы системы. . ?
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:28:29 | | VSS | 13: Информация теневого копирования тома: не удается запустить COM-сервер с CLSID {4e14fba2-2e22-11d1-9964-00c04fbbb345} под именем CEventSystem. [0x8007045b, Идет завершение работы системы. ] ?
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:28:56 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:29:01 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | 101 | 2020-02-20 12:30:36 | | Application Hang | 1002: Программа SlimDrivers.exe версии 2.3.2.0 прекратила взаимодействие с Windows и была закрыта. Чтобы узнать, имеются ли дополнительные сведения о проблеме, просмотрите журнал проблем в разделе "Безопасность и обслуживание" в панели управления. Идентификатор процесса: 2a7c Время запуска: 01d5e7d8b376fe1a Время завершения: 4294967295 Путь к приложению: C:\Program Files (x86)\SlimDrivers\SlimDrivers.exe Идентификатор отчета: 4141c447-b774-4d44-b2e9-e548f2649929 Полное имя пакета сбоя: ? Код приложения, связанного со сбойным пакетом: ? Тип зависания: Top level window is idle
|
| | Приложение | Внимание | Нет | 2020-02-20 12:30:51 | Leo | Microsoft-Windows-RestartManager | 10010: Не удалось перезапустить приложение "C:\Program Files\SlimCleaner Plus\UninstallStub.exe" (ИД процесса 5016) - 1.
|
| | Приложение | Внимание | Нет | 2020-02-20 12:30:59 | Leo | Microsoft-Windows-RestartManager | 10010: Не удалось перезапустить приложение "C:\Program Files (x86)\SlimDrivers\UninstallStub.exe" (ИД процесса 8440) - 1.
|
| | Приложение | Ошибка | Нет | 2020-02-20 12:59:45 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-20 13:20:50 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 13:41:45 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
|
| | Приложение | Ошибка | Нет | 2020-02-20 13:41:45 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-20 14:02:42 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-20 14:40:10 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 11:06:06 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
|
| | Приложение | Ошибка | Нет | 2020-02-21 11:06:09 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 14:11:10 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=1
|
| | Приложение | Ошибка | Нет | 2020-02-21 14:11:13 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 16:34:34 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:24:45 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:24:55 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:25:03 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:25:13 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:26:03 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:26:13 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:26:22 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-21 20:26:23 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | 101 | 2020-02-21 21:20:07 | | Application Hang | 1002: Программа dota2.exe версии 0.0.0.0 прекратила взаимодействие с Windows и была закрыта. Чтобы узнать, имеются ли дополнительные сведения о проблеме, просмотрите журнал проблем в разделе "Безопасность и обслуживание" в панели управления. Идентификатор процесса: e90 Время запуска: 01d5e8ebe662405a Время завершения: 7 Путь к приложению: C:\Program Files (x86)\Steam\steamapps\common\dota 2 beta\game\bin\win64\dota2.exe Идентификатор отчета: 9a8ce37c-e9fd-4e3a-bb5c-70a17c0a7d4b Полное имя пакета сбоя: ? Код приложения, связанного со сбойным пакетом: ? Тип зависания: Unknown
|
| | Приложение | Ошибка | Нет | 2020-02-22 11:35:58 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=2
|
| | Приложение | Ошибка | Нет | 2020-02-22 11:36:03 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-23 11:53:32 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=UserLogon;SessionId=3
|
| | Приложение | Ошибка | Нет | 2020-02-23 11:53:34 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=TimerEvent
|
| | Приложение | Ошибка | Нет | 2020-02-23 11:53:39 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Приложение | Ошибка | Нет | 2020-02-23 11:53:39 | | Software Protection Platform Service | 8198: Сбой активации лицензий (slui.exe) со следующим кодом ошибки: hr=0x8007007B Аргументы командной строки: RuleId=eeba1977-569e-4571-b639-7623d8bfecc0;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=2de67392-b7a7-462a-b1ca-108dd189f588;NotificationInterval=1440;Trigger=NetworkAvailable
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:45 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:45 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:45 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c4 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-17 14:14:45 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:46 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1d4 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x27c Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x22c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x28c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x270 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2e0 Имя нового процесса: ????????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x270 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ???????????????-??6??0????0--?0??????????????????????4 Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2e0 Имя процесса-создателя: ??????????????????????4 Командная строка процесса: ????0--?0??????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x320 Имя нового процесса: ?????????????????e???????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2e0 Имя процесса-создателя: ??????????????????????4 Командная строка процесса: ????0--?0??????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x21c Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x22c Имя нового процесса: ??????????????-??6??4????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x234 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x22c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x270 Имя нового процесса: ??????????????-??6??4????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x27c Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2e0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0x1260b Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x27c Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0x1262f Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2e0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??c????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x27c Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x360 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x27c Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0x1206e
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-80-3169285310-278349998-1452333686-3865143136-4212226833 Предоставленный доступ: Право на доступ: SeServiceLogonRight
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4720: Создана учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: MINWINPC Атрибуты: Имя учетной записи SAM: WDAGUtilityAccount Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x0 Новое значение UAC: 0x15 Управление учетной записью пользователя: %%2080 %%2082 %%2084 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Privileges -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: MINWINPC Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: 0x15 Новое значение UAC: 0x11 Управление учетной записью пользователя: %%2050 Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: MINWINPC Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: - Новое значение UAC: - Управление учетной записью пользователя: - Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: MINWINPC Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: - Новое значение UAC: - Управление учетной записью пользователя: - Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-555 Имя группы: Пользователи удаленного рабочего стола Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Пользователи удаленного рабочего стола Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-555 Имя группы: Пользователи удаленного рабочего стола Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-556 Имя группы: Операторы настройки сети Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Операторы настройки сети Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-556 Имя группы: Операторы настройки сети Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-558 Имя группы: Пользователи системного монитора Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Пользователи системного монитора Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-558 Имя группы: Пользователи системного монитора Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-559 Имя группы: Пользователи журналов производительности Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Пользователи журналов производительности Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-559 Имя группы: Пользователи журналов производительности Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-562 Имя группы: Пользователи DCOM Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Пользователи DCOM Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-562 Имя группы: Пользователи DCOM Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-568 Имя группы: IIS_IUSRS Домен группы: Builtin Атрибуты: Имя учетной записи SAM: IIS_IUSRS Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-568 Имя группы: IIS_IUSRS Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-569 Имя группы: Криптографические операторы Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Криптографические операторы Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-569 Имя группы: Криптографические операторы Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-17 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-568 Имя группы: IIS_IUSRS Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-573 Имя группы: Читатели журнала событий Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Читатели журнала событий Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-573 Имя группы: Читатели журнала событий Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-578 Имя группы: Администраторы Hyper-V Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Администраторы Hyper-V Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-578 Имя группы: Администраторы Hyper-V Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-579 Имя группы: Операторы помощи по контролю учетных записей Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Операторы помощи по контролю учетных записей Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-579 Имя группы: Операторы помощи по контролю учетных записей Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4731: Создана локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Новая группа: Идентификатор безопасности: S-1-5-32-580 Имя группы: Пользователи удаленного управления Домен группы: Builtin Атрибуты: Имя учетной записи SAM: Пользователи удаленного управления Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-580 Имя группы: Пользователи удаленного управления Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:14:55 | | Microsoft-Windows-Security-Auditing | 4728: Добавлен член глобальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: - Группа: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Имя группы: Отсутствует Домен группы: MINWINPC Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2e0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x19f2b Связанный ИД входа: 0x19f3d Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2e0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x19f3d Связанный ИД входа: 0x19f2b Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2e0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x19f2b Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x19f3d Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:14:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-546 Удаленный доступ: Право доступа: SeInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-581 Удаленный доступ: Право доступа: SeInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-581 Удаленный доступ: Право доступа: SeNetworkLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-583 Удаленный доступ: Право доступа: SeInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-583 Удаленный доступ: Право доступа: SeNetworkLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-80-3169285310-278349998-1452333686-3865143136-4212226833 Удаленный доступ: Право доступа: SeServiceLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-544 Предоставленный доступ: Право на доступ: SeRemoteInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-551 Предоставленный доступ: Право на доступ: SeNetworkLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-551 Предоставленный доступ: Право на доступ: SeBatchLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-559 Предоставленный доступ: Право на доступ: SeBatchLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-1-0 Удаленный доступ: Право доступа: SeInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-1-0 Удаленный доступ: Право доступа: SeRemoteInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-21-16089801-1463091330-1395838223-501 Предоставленный доступ: Право на доступ: SeInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-21-16089801-1463091330-1395838223-501 Предоставленный доступ: Право на доступ: SeDenyInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-21-16089801-1463091330-1395838223-501 Предоставленный доступ: Право на доступ: SeDenyNetworkLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4718: Удален доступ учетной записи к безопасности системы. Субъект: Идентификатор входа безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-90-0 Удаленный доступ: Право доступа: SeInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-32-555 Предоставленный доступ: Право на доступ: SeRemoteInteractiveLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4717: Учетной записи предоставлен доступ к безопасности системы. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Код входа: 0x3e7 Измененная учетная запись: Имя учетной записи: S-1-5-80-0 Предоставленный доступ: Право на доступ: SeServiceLogonRight
|
| | Безопасность | Audit Success | 13569 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4739: Изменена политика домена. Тип изменения: Политика паролей изменено Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Домен: Имя домена: MINWINPC Идентификатор домена: S-1-5-21-16089801-1463091330-1395838223 Измененные атрибуты: Мин. срок действия паролей: ? Макс. срок действия пароля: ? Принудительный выход: ? Порог блокировки: ? Сброс счетчика блокировок через: ? Длительность блокировки: ? Свойства пароля: - Мин. Длина пароля: - Длина журнала паролей: - Квота учетной записи компьютера: - Смешанный режим домена: 0 Версия поведения домена: 0 Сведения об изготовителе оборудования (OEM): 0 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4725: Отключена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: MINWINPC
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: MINWINPC Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: 0x210 Новое значение UAC: 0x211 Управление учетной записью пользователя: %%2080 Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4725: Отключена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: MINWINPC
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: MINWINPC Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: 0x214 Новое значение UAC: 0x215 Управление учетной записью пользователя: %%2080 Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-4 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:15:01 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-11 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 14:15:03 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:15:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:15:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:15:59 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: MINWINPC Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: 0x211 Новое значение UAC: 0x211 Управление учетной записью пользователя: - Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: MINWINPC$ Домен учетной записи: ? ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:36 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:36 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:36 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1a0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:36 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1b4 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1a0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-17 14:16:36 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x20c Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1a0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x218 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x20c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x260 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1a0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x268 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x20c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x270 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x260 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2b4 Имя нового процесса: ????????????????-??6??8????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x268 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2c8 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x268 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ????????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x260 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 14:16:38 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0x9daa
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x268 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xa0dc Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x268 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xa0f4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0xf2ca Связанный ИД входа: 0xf2db Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0xf2db Связанный ИД входа: 0xf2ca Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0xf2ca Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0xf2db Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x26b2a Связанный ИД входа: 0x26bd4 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x26bd4 Связанный ИД входа: 0x26b2a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x26b2a Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4720: Создана учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Новая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Атрибуты: Имя учетной записи SAM: defaultuser0 Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x0 Новое значение UAC: 0x15 Управление учетной записью пользователя: %%2080 %%2082 %%2084 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Privileges -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4722: Включена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: defaultuser0 Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x15 Новое значение UAC: 0x14 Управление учетной записью пользователя: %%2048 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: defaultuser0 Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: 17.02.2020 15:16:45 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x14 Новое значение UAC: 0x14 Управление учетной записью пользователя: - Параметры пользователя: - Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4724: Выполнена попытка сброса пароля учетной записи. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: defaultuser0 Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: 17.02.2020 15:16:45 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x14 Новое значение UAC: 0x214 Управление учетной записью пользователя: %%2089 Параметры пользователя: - Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4724: Выполнена попытка сброса пароля учетной записи. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4728: Добавлен член глобальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: - Группа: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Имя группы: Отсутствует Домен группы: DESKTOP-PLI6Q7L Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x548 Имя процесса: C:\Windows\System32\oobe\msoobe.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd9c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd9c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 14:16:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 14:16:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 14:16:46 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa54 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 15:16:47 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x690 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-17T12:16:46.766483300Z Новое время: 2020-02-17T13:16:47.040118600Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 15:16:47 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x690 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-17T13:16:47.040118600Z Новое время: 2020-02-17T13:16:47.040413900Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:16:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:16:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x690 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-17T13:16:53.931418100Z Новое время: 2020-02-17T13:16:53.933132600Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-544 Домен учетной записи: Builtin Старое имя учетной записи: Администраторы Новое имя учетной записи: Администраторы Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-545 Домен учетной записи: Builtin Старое имя учетной записи: Пользователи Новое имя учетной записи: Пользователи Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-546 Домен учетной записи: Builtin Старое имя учетной записи: Гости Новое имя учетной записи: Гости Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-551 Домен учетной записи: Builtin Старое имя учетной записи: Операторы архива Новое имя учетной записи: Операторы архива Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-552 Домен учетной записи: Builtin Старое имя учетной записи: Репликатор Новое имя учетной записи: Репликатор Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-555 Домен учетной записи: Builtin Старое имя учетной записи: Пользователи удаленного рабочего стола Новое имя учетной записи: Пользователи удаленного рабочего стола Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-556 Домен учетной записи: Builtin Старое имя учетной записи: Операторы настройки сети Новое имя учетной записи: Операторы настройки сети Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-547 Домен учетной записи: Builtin Старое имя учетной записи: Опытные пользователи Новое имя учетной записи: Опытные пользователи Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-558 Домен учетной записи: Builtin Старое имя учетной записи: Пользователи системного монитора Новое имя учетной записи: Пользователи системного монитора Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-559 Домен учетной записи: Builtin Старое имя учетной записи: Пользователи журналов производительности Новое имя учетной записи: Пользователи журналов производительности Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-562 Домен учетной записи: Builtin Старое имя учетной записи: Пользователи DCOM Новое имя учетной записи: Пользователи DCOM Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-568 Домен учетной записи: Builtin Старое имя учетной записи: IIS_IUSRS Новое имя учетной записи: IIS_IUSRS Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-569 Домен учетной записи: Builtin Старое имя учетной записи: Криптографические операторы Новое имя учетной записи: Криптографические операторы Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-573 Домен учетной записи: Builtin Старое имя учетной записи: Читатели журнала событий Новое имя учетной записи: Читатели журнала событий Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-578 Домен учетной записи: Builtin Старое имя учетной записи: Администраторы Hyper-V Новое имя учетной записи: Администраторы Hyper-V Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-579 Домен учетной записи: Builtin Старое имя учетной записи: Операторы помощи по контролю учетных записей Новое имя учетной записи: Операторы помощи по контролю учетных записей Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-580 Домен учетной записи: Builtin Старое имя учетной записи: Пользователи удаленного управления Новое имя учетной записи: Пользователи удаленного управления Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-581 Домен учетной записи: Builtin Старое имя учетной записи: Управляемая системой группа учетных записей Новое имя учетной записи: Управляемая системой группа учетных записей Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-32-583 Домен учетной записи: Builtin Старое имя учетной записи: Владельцы устройства Новое имя учетной записи: Владельцы устройства Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Администратор Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x211 Новое значение UAC: 0x211 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Администратор Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x211 Новое значение UAC: 0x211 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Гость Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x215 Новое значение UAC: 0x215 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Гость Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x215 Новое значение UAC: 0x215 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: DefaultAccount Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x215 Новое значение UAC: 0x215 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: DefaultAccount Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x215 Новое значение UAC: 0x215 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: WDAGUtilityAccount Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: 17.02.2020 15:14:55 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x11 Новое значение UAC: 0x11 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: WDAGUtilityAccount Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: 17.02.2020 15:14:55 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x11 Новое значение UAC: 0x11 Управление учетной записью пользователя: - Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4781: Изменено имя учетной записи: Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Домен учетной записи: DESKTOP-PLI6Q7L Старое имя учетной записи: Отсутствует Новое имя учетной записи: Отсутствует Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x108c Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x108c Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Администраторы Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Пользователи Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-546 Имя группы: Гости Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-546 Имя группы: Гости Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Гости Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Операторы архива Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-552 Имя группы: Репликатор Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-552 Имя группы: Репликатор Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Репликатор Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-555 Имя группы: Пользователи удаленного рабочего стола Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-555 Имя группы: Пользователи удаленного рабочего стола Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Пользователи удаленного рабочего стола Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-556 Имя группы: Операторы настройки сети Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-556 Имя группы: Операторы настройки сети Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Операторы настройки сети Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-547 Имя группы: Опытные пользователи Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-547 Имя группы: Опытные пользователи Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Опытные пользователи Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-558 Имя группы: Пользователи системного монитора Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-558 Имя группы: Пользователи системного монитора Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Пользователи системного монитора Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-559 Имя группы: Пользователи журналов производительности Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-559 Имя группы: Пользователи журналов производительности Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Пользователи журналов производительности Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-562 Имя группы: Пользователи DCOM Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-562 Имя группы: Пользователи DCOM Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Пользователи DCOM Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-568 Имя группы: IIS_IUSRS Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-568 Имя группы: IIS_IUSRS Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: IIS_IUSRS Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-569 Имя группы: Криптографические операторы Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-569 Имя группы: Криптографические операторы Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Криптографические операторы Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-573 Имя группы: Читатели журнала событий Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-573 Имя группы: Читатели журнала событий Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Читатели журнала событий Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-578 Имя группы: Администраторы Hyper-V Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-578 Имя группы: Администраторы Hyper-V Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Администраторы Hyper-V Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-579 Имя группы: Операторы помощи по контролю учетных записей Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-579 Имя группы: Операторы помощи по контролю учетных записей Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Операторы помощи по контролю учетных записей Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-580 Имя группы: Пользователи удаленного управления Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-580 Имя группы: Пользователи удаленного управления Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Пользователи удаленного управления Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-581 Имя группы: Управляемая системой группа учетных записей Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-581 Имя группы: Управляемая системой группа учетных записей Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Управляемая системой группа учетных записей Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-583 Имя группы: Владельцы устройства Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4735: Изменена локальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-32-583 Имя группы: Владельцы устройства Домен группы: Builtin Измененные атрибуты: Имя учетной записи SAM: Владельцы устройства Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4737: Изменена глобальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Имя группы: Отсутствует Домен группы: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: - Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:16:53 | | Microsoft-Windows-Security-Auditing | 4737: Изменена глобальная группа с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Группа: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Имя группы: Отсутствует Домен группы: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Отсутствует Журнал SID: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x58329 Связанный ИД входа: 0x58347 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x58347 Связанный ИД входа: 0x58329 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x58329 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:17:09 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa54 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2481 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2481 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2481 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2459 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Сведения о процессе: Идентификатор процесса: 4816 Время создания процесса: 2020-02-17T13:17:10.119795500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\defaultuser0\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2459 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Сведения о процессе: Идентификатор процесса: 4816 Время создания процесса: 2020-02-17T13:17:10.119795500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\defaultuser0\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Сведения о процессе: Идентификатор процесса: 4816 Время создания процесса: 2020-02-17T13:17:10.119795500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Сведения о процессе: Идентификатор процесса: 4816 Время создания процесса: 2020-02-17T13:17:10.119795500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x58347 Сведения о процессе: Идентификатор процесса: 4816 Время создания процесса: 2020-02-17T13:17:10.119795500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5476 Время создания процесса: 2020-02-17T13:17:10.353085200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2459 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5476 Время создания процесса: 2020-02-17T13:17:10.353085200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5476 Время создания процесса: 2020-02-17T13:17:10.353085200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5476 Время создания процесса: 2020-02-17T13:17:10.353085200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5476 Время создания процесса: 2020-02-17T13:17:10.353085200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:17:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:17:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:17:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x58347 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x92c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:12 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x92c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x58347 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x58347 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0xf9fda Связанный ИД входа: 0xf9fff Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: OOBE Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x58347 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0xf9fff Связанный ИД входа: 0xf9fda Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: OOBE Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0xf9fda Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4720: Создана учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Новая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Атрибуты: Имя учетной записи SAM: Leo Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x0 Новое значение UAC: 0x15 Управление учетной записью пользователя: %%2080 %%2082 %%2084 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Privileges -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4722: Включена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Leo Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x15 Новое значение UAC: 0x14 Управление учетной записью пользователя: %%2048 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: Leo Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: %%1794 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x14 Новое значение UAC: 0x214 Управление учетной записью пользователя: %%2089 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: - Отображаемое имя: - Основное имя пользователя: - Домашний каталог: - Домашний диск: - Путь к сценарию: - Путь к профилю: - Рабочие станции пользователя: - Последний пароль задан: - Срок действия учетной записи истекает: - Идентификатор основной группы: - Разрешено делегировать: - Старое значение UAC: - Новое значение UAC: - Управление учетной записью пользователя: - Параметры пользователя: - Журнал SID: - Часы входа: - Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4728: Добавлен член глобальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: - Группа: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Имя группы: Отсутствует Домен группы: DESKTOP-PLI6Q7L Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4732: Добавлен член локальной группы с включенной безопасностью. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Член: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: - Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Дополнительные сведения: Привилегии: - Время окончания срока действия: (null)
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4733: Удален член локальной группы с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Член: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: - Группа: Идентификатор безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\CloudExperienceHostBroker.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:18:46 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa54 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0xf9fff Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0xf9fda Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x58347 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4725: Отключена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4738: Изменена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Измененные атрибуты: Имя учетной записи SAM: defaultuser0 Отображаемое имя: %%1793 Основное имя пользователя: - Домашний каталог: %%1793 Домашний диск: %%1793 Путь к сценарию: %%1793 Путь к профилю: %%1793 Рабочие станции пользователя: %%1793 Последний пароль задан: 17.02.2020 15:16:45 Срок действия учетной записи истекает: %%1794 Идентификатор основной группы: 513 Разрешено делегировать: - Старое значение UAC: 0x214 Новое значение UAC: 0x211 Управление учетной записью пользователя: %%2080 %%2050 Параметры пользователя: %%1793 Журнал SID: - Часы входа: %%1797 Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:19:24 | | Microsoft-Windows-Security-Auditing | 4733: Удален член локальной группы с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Член: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: - Группа: Идентификатор безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Failure | 12290 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x80090016
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2481 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Сведения о процессе: Идентификатор процесса: 1708 Время создания процесса: 2020-02-17T13:19:25.345296800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2459 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Сведения о процессе: Идентификатор процесса: 1708 Время создания процесса: 2020-02-17T13:19:25.345296800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Сведения о процессе: Идентификатор процесса: 1708 Время создания процесса: 2020-02-17T13:19:25.345296800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Сведения о процессе: Идентификатор процесса: 1708 Время создания процесса: 2020-02-17T13:19:25.345296800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x10e14b Сведения о процессе: Идентификатор процесса: 1708 Время создания процесса: 2020-02-17T13:19:25.345296800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 1656 Время создания процесса: 2020-02-17T12:16:45.026889300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xf74 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host ИД входа: 0x10c285 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xf74 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-2 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xf74 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x10c76e Связанный ИД входа: 0x10c794 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xf74 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x10c794 Связанный ИД входа: 0x10c76e Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xf74 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x10e127 Связанный ИД входа: 0x10e14b Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x10e14b Связанный ИД входа: 0x10e127 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xb70 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host Код входа: 0xa0f4 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x10c76e Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x10c794 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x10e127 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:19:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa54 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0xf2db Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0xf2ca Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e127 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:19:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:20:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:20:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:20:42 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:03 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:03 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:33 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x180c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:21:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 15:21:43 | | Microsoft-Windows-Security-Auditing | 4904: Произведена попытка регистрации источника событий безопасности. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0x26d4b7
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 15:21:43 | | Microsoft-Windows-Security-Auditing | 4905: Произведена попытка отмены регистрации источника событий безопасности. Subject Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0x1c88 Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0x26d4b7
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:21:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:22:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:22:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:19 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:22:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:23:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:23:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:23:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:23:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:23:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:23:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:23:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:23:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:24:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:24:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:24:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:24:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:24:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:24:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:25:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:25:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:25:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:25:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:25:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:25:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:26:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:26:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:26:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:26:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:26:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:29:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:29:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:29:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:29:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:29:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:29:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1540 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:30:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:30:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:30:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:30:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:30:42 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:30:42 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:47 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x838 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:30:47 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x838 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:31:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:31:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-17 15:31:39 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x10e14b Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0xbd4 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: WIN-U99F3HH0FB1 Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x10e14b Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xbd4 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x10e14b Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:31:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:31:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: WIN-U99F3HH0FB1$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2b4 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:31:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:15 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:15 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:15 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1bc Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:15 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1d0 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1bc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-17 15:35:15 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:17 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x294 Имя нового процесса: ??????????????-??6??c????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1bc Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:17 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a4 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x294 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2f4 Имя нового процесса: ??????????????-??6??c????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1bc Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x294 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2f4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x344 Имя нового процесса: ????????????????-??6??c????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 15:35:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x358 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xe70f Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xe723 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x13c82 Связанный ИД входа: 0x13cac Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x13cac Связанный ИД входа: 0x13c82 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x13c82 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x13cac Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 15:35:19 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xe574
|
| | Безопасность | Audit Success | 101 | 2020-02-17 15:35:20 | | Microsoft-Windows-Eventlog | 1101: События аудита были отклонены транспортом. 0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd7c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd7c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd94 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:21 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd94 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x488 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x55474 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x55474 Сведения о процессе: Идентификатор процесса: 5096 Время создания процесса: 2020-02-17T13:35:23.231962500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x55474 Сведения о процессе: Идентификатор процесса: 5096 Время создания процесса: 2020-02-17T13:35:23.231962500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5216 Время создания процесса: 2020-02-17T13:35:23.441169000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5216 Время создания процесса: 2020-02-17T13:35:23.441169000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xa60 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55452 Связанный ИД входа: 0x55474 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xa60 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Связанный ИД входа: 0x55452 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xa60 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x55452 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:23 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x778 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4726: Удалена учетная запись пользователя. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55452 Целевая учетная запись: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: defaultuser0 Домен учетной записи: DESKTOP-PLI6Q7L Дополнительные сведения: Privileges -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1988 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1988 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4733: Удален член локальной группы с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55452 Член: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: - Группа: Идентификатор безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:27 | | Microsoft-Windows-Security-Auditing | 4729: Удален член глобальной группы с включенной безопасностью. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55452 Член: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1000 Имя учетной записи: - Группа: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-513 Имя группы: Отсутствует Домен группы: DESKTOP-PLI6Q7L Дополнительные сведения: Привилегии: -
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:28 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55452 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x778 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:29 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1398 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 15:35:29 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1398 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:38 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:35:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:35:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:35:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:36:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:36:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:36:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:36:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-17 15:36:21 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x55474 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1e7c Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1e7c Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:45 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x680 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:50 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:50 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:50 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:36:50 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:37:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:37:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:37:19 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:37:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:37:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:37:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:37:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:37:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:37:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:37:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:37:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:37:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:38:19 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:38:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:38:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:38:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:38:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:38:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:38:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:38:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:39:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:39:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:39:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:39:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:39:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:39:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:41:23 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x574 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:43:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:43:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:44:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x11a8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:45:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:45:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:46:38 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:46:38 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:46:38 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:46:38 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:48:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:48:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:51:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:51:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:51:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:51:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:52:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1de4 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:53:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1664 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x24e8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x24e8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x24e8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x24e8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x24e8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x24e8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:55:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:57:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 15:57:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:57:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 15:57:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:57:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 15:59:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9c8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:08:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:08:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:08:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:08:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:22:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:22:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:24:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:24:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:24:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:24:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 16:24:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 16:25:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 16:25:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:25:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:25:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:25:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:25:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:30:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:30:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:42:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:42:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 16:51:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 16:51:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:00:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:00:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:00:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:00:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:06:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:06:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:17:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:17:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:26:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:26:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:26:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:26:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1a9c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1a9c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1a9c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1a9c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1a9c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x55474 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1a9c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:34:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:35:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:35:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:35:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:35:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:35:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:35:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:35:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:35:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:35:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:35:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:35:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:38:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:38:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:40:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:40:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:40:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:40:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:40:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:40:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:40:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:41:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:41:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:41:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:41:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 17:42:59 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16fc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:43:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 17:43:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:45:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:45:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:51:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:51:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:55:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:55:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 17:55:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 17:55:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 18:05:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 18:05:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 18:27:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 18:27:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 18:27:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 18:27:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 18:53:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 18:53:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 18:54:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 18:54:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:00:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:00:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:12:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:12:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:13:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:13:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:19:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:19:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:19:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:19:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:35:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:35:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 19:35:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 19:35:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:02:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:02:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:03:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:03:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 20:13:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 20:13:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:19:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:19:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:25:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:25:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:32:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:32:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:36:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:36:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 20:36:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2578 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 20:36:45 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2578 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:39:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:39:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 20:39:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 20:39:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x55474 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:50:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:50:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 20:51:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 20:51:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:01:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:01:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:29 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:29 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:29 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-17 21:07:29 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:30 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x250 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:31 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x29c Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:31 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a8 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x300 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xf6a1 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x300 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xf6af Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2f8 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x300 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x308 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2f8 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x348 Имя нового процесса: ????????????????-??6??0????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x300 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x35c Имя нового процесса: ????????????????-??6??0????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x300 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x36c Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x300 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 21:07:32 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xf4d9
|
| | Безопасность | Audit Success | 101 | 2020-02-17 21:07:33 | | Microsoft-Windows-Eventlog | 1101: События аудита были отклонены транспортом. 0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14cf1 Связанный ИД входа: 0x14d1f Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14d1f Связанный ИД входа: 0x14cf1 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14cf1 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14d1f Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x4a4 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdf0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdf0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xde0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xde0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d043 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d043 Сведения о процессе: Идентификатор процесса: 4868 Время создания процесса: 2020-02-17T19:07:35.482570900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d043 Сведения о процессе: Идентификатор процесса: 4868 Время создания процесса: 2020-02-17T19:07:35.482570900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5184 Время создания процесса: 2020-02-17T19:07:35.713934800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5184 Время создания процесса: 2020-02-17T19:07:35.713934800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x774 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3cfe0 Связанный ИД входа: 0x3d043 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x774 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Связанный ИД входа: 0x3cfe0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x774 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3cfe0 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x608 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1970 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:07:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1970 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:07:58 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:08:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:08:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:08:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:08:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:08:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:08:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:08:06 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2718 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:08:06 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2718 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:08:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:08:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:08:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:08:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Failure | 12544 | 2020-02-17 21:08:29 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d043 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1cf0 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1cf0 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x226c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x226c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x226c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x226c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x226c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:44 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x226c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:59 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:59 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:08:59 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:09:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:09:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:09:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:09:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:09:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:09:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:09:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:09:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:09:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:10:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:10:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:10:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:10:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:10:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:10:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:10:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:10:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:10:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:10:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:11:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:11:03 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:11:03 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:11:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:11:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:11:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:12:03 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:12:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:12:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:12:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:12:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:12:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d043 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:14:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1878 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:15:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:15:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 21:15:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc8 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:17:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:17:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 21:22:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 21:22:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:24:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:24:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:24:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 21:24:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 22:30:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x24bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:30:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:30:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:31:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:31:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:31:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:31:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:32:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:32:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:37:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:37:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 22:51:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 22:51:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:07:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:07:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:07:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:07:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:12:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:12:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:12:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:12:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:12:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:12:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:17:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:17:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:18:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1d54 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:19:58 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:19:58 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:19:58 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:19:58 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d043 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:22:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:22:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:22:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:22:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:22:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:22:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:07 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:07 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:07 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-17 23:28:07 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:08 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x258 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:09 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x298 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:09 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a8 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x298 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x300 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xe9e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xe9e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x300 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2f8 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x300 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x298 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x308 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2f8 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x348 Имя нового процесса: ????????????????-??6??0????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x300 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x35c Имя нового процесса: ????????????????-??6??0????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x300 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x370 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x300 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-17 23:28:10 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xe819
|
| | Безопасность | Audit Success | 101 | 2020-02-17 23:28:11 | | Microsoft-Windows-Eventlog | 1101: События аудита были отклонены транспортом. 0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14036 Связанный ИД входа: 0x14060 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14060 Связанный ИД входа: 0x14036 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14036 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14060 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd88 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd88 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd9c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:12 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd9c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d3c5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d3c5 Сведения о процессе: Идентификатор процесса: 4796 Время создания процесса: 2020-02-17T21:28:13.466682600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d3c5 Сведения о процессе: Идентификатор процесса: 4796 Время создания процесса: 2020-02-17T21:28:13.466682600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5308 Время создания процесса: 2020-02-17T21:28:13.747093000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5308 Время создания процесса: 2020-02-17T21:28:13.747093000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d340 Связанный ИД входа: 0x3d3c5 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Связанный ИД входа: 0x3d340 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d340 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x4a0 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:13 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x658 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1724 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1724 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:28:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2404 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2404 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-17 23:28:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x83c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:28:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:28:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:29:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:29:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Failure | 12544 | 2020-02-17 23:29:08 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d3c5 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1f3c Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f3c Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:29:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:29:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:29:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:29:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2a6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2a6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2a6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2a6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2a6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d3c5 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2a6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:29:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:30:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:30:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:30:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:30:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:30:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:30:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:30:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:30:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:30:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:30:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:30:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:30:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:31:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:31:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:31:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:31:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:31:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:31:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:32:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:32:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:32:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:32:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:32:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:32:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:32:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:32:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:33:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:33:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:33:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:38:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:38:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:39:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:39:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:43:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:43:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:43:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:43:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:47:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:47:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:47:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-17 23:47:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:47:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:47:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:48:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:48:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:54:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:54:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-17 23:54:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-17 23:54:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:08:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:08:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:08:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:08:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:08:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:08:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:08:08 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x248c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:08:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:08:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:09:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:09:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:09:21 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2980 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 00:09:21 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2980 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:09:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:09:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:09:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:10:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:10:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:10:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:10:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:24:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:24:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:25:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:25:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:30:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d3c5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:42:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:42:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:50:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:50:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:50:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:50:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:58:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:58:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:58:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:58:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:59:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:59:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x246c Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host ИД входа: 0x1b0a710 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x246c Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-2 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x246c Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x1b0b962 Связанный ИД входа: 0x1b0b984 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x246c Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x1b0b984 Связанный ИД входа: 0x1b0b962 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x246c Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x1b0b962 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 00:59:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x1b0b984 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d3c5 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 12545 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host Код входа: 0xe9e5 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 00:59:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12545 | 2020-02-18 00:59:43 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14060 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-18 00:59:43 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14036 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12290 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x1b25698 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x1b25698 Сведения о процессе: Идентификатор процесса: 10004 Время создания процесса: 2020-02-18T09:52:15.388201100Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x1b25698 Сведения о процессе: Идентификатор процесса: 10004 Время создания процесса: 2020-02-18T09:52:15.388201100Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b255df Связанный ИД входа: 0x1b25698 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Связанный ИД входа: 0x1b255df Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x1b255df Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x11c4 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 11:52:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x658 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:27 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:52:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:52:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:52:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 11:52:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2614 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 11:52:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2614 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x778 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-18 11:53:07 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x1b25698 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x778 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:20 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f40 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:20 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f40 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:21 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f40 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f40 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f40 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f40 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:53:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:54:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:54:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:54:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:54:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:54:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:54:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:55:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:55:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 11:55:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-546 Имя группы: Гости Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cf4 Имя процесса: C:\Windows\System32\CompatTelRunner.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:55:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:55:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:55:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:56:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:56:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:56:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 11:56:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 11:56:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:56:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:56:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:56:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:57:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:57:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 11:57:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:01:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:01:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:07:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:07:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:07:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:07:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\_0000000000000000.cdf-ms Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$.cdf-ms Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_syswow64_21ffbdd2a2dd92e0.cdf-ms Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_syswow64_speech_onecore_common_3ac1627a1b848769.cdf-ms Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_syswow64_speech_onecore_common_en-us_93d22aa1fb70f6d5.cdf-ms Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_21f9a9c4a2f8b514.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_speech_onecore_voiceactivation_57f72a0344e2d398.cdf-ms Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_speech_onecore_voiceactivation_en-us_92b585c92c0d769c.cdf-ms Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_speech_onecore_common_60bf750299e8ab15.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_speech_onecore_common_en-us_1c7d86f233c96fa1.cdf-ms Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_speech_speechux_bf4b53e8d47da913.cdf-ms Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_system32_speech_speechux_en-us_84f7db2c593a03f7.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_86042ecd14dccb9c.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_engines_85d79caefa9ac893.cdf-ms Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_engines_tts_8edca57574a98a4e.cdf-ms Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_engines_tts_en-us_f904ad554a6fa916.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_engines_tts_en-us_nusdata_cef1e62180073154.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_engines_sr_en-us-n_0c71dedb4e34c687.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_onecore_engines_lexicon_en-us_46877e17bde1af0b.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_3b206622a946e834.cdf-ms Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_engines_8a294d630e90192b.cdf-ms Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_engines_sr_en-us_3201cbb7cd315cd0.cdf-ms Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\$$_speech_engines_lexicon_en-us_bd71d54bf658e12b.cdf-ms Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\Lexicon\en-US Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\Lexicon\en-US\grph1033.lxa Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\Lexicon\en-US\lsr1033.lxa Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\af031033.am Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\ai031033.am Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\am031033.am Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\c1033dsk.fe Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.cw Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.dlm Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.ini Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.mllr Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.ngr Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.phn Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.smp Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\l1033.wwd Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\p1033.dlm Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\p1033.ngr Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\s1033.dlm Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\s1033.ngr Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\t1033.dlm Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\t1033.ngr Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\tn1033.bin Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\u1033.dlm Идентификатор дескриптора: 0x5b0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\u1033.ngr Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech\Engines\SR\en-US\wp1033.bin Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\AI041033.am Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\c1033.fe Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\l1033.cw Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\l1033.ini Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\l1033.phn Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\l1033.smp Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\l1033.wwd Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\lsr1033.lxa Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\r1033sr.lxa Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\SR\en-US-N\tn1033.bin Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\enUS.Address.dat Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\enUS.CompanyName.dat Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\enUS.Computer.dat Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\enUS.Media.dat Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\enUS.Message.dat Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\enUS.Name.dat Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033David.APM Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033David.BEP Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033David.INI Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.ACL Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.APM Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.BEP Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.BR2 Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.HEQ Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.INI Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.NNM Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.TDAT Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Eva.TON Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Mark.APM Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Mark.BEP Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Mark.INI Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Mark.SPEECHUX.NUS Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Mark.TBT.NUS Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Zira.APM Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Zira.BEP Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Zira.INI Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Zira.SPEECHUX.NUS Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\M1033Zira.TBT.NUS Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\MSTTSLocEnUS.INI Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033David.keyboard.NU2 Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033David.keyboard.RAD Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033David.keyboard.UNT Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033David.keyboard.WIH Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033David.keyboard.WVE Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.tbtdirection.TNU Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.tbtdirection.UNT Идентификатор дескриптора: 0x610 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.tbtdirection.WIH Идентификатор дескриптора: 0x56c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.tbtdirection.WVE Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.voiceAssistant.TNU Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.voiceAssistant.UNT Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.voiceAssistant.WIH Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Eva.voiceAssistant.WVE Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Mark.keyboard.NU2 Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Mark.keyboard.RAD Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Mark.keyboard.unt Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Mark.keyboard.WIH Идентификатор дескриптора: 0x4f0 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Mark.keyboard.WVE Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Zira.keyboard.NU2 Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Zira.keyboard.RAD Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Zira.keyboard.UNT Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Zira.keyboard.WIH Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\Speech_OneCore\Engines\TTS\en-US\NUSData\M1033Zira.keyboard.WVE Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech\SpeechUX\en-US Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech\SpeechUX\en-US\SpeechUXRes.dll Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\common\en-US\Tokens_SR_en-US-N.xml Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\common\en-US\tokens_TTS_en-US.xml Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\common\en-US\tokens_TTS_en-US_david.xml Идентификатор дескриптора: 0x56c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\common\en-US\Tokens_VoiceActivation_en-US.xml Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\VoiceActivation\en-US\sidubm.table Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\VoiceActivation\en-US\VoiceActivation_en-US.dat Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\VoiceActivation\en-US\VoiceActivation_en-US.dat.prev Идентификатор дескриптора: 0x544 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\System32\Speech_OneCore\VoiceActivation\en-US\VoiceActivation_HW_en-US.dat Идентификатор дескриптора: 0x5fc Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\SysWOW64\Speech_OneCore\Common\en-US\Tokens_SR_en-US-N.xml Идентификатор дескриптора: 0x514 Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\SysWOW64\Speech_OneCore\Common\en-US\tokens_TTS_en-US.xml Идентификатор дескриптора: 0x56c Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 12:07:26 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\SysWOW64\Speech_OneCore\Common\en-US\tokens_TTS_en-US_david.xml Идентификатор дескриптора: 0x5ac Сведения о процессе: Идентификатор процесса: 0x198c Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: S:AINO_ACCESS_CONTROL Новый дескриптор безопасности: S:ARAI(AU;SAFA;DCLCRPCRSDWDWO;;;WD)
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 12:07:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x10cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:19:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:19:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:21:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:21:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:35:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:35:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:40:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:40:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:40:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:40:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 12:40:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 12:40:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:40:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:40:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 12:40:13 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 12:45:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 12:45:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:03:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:03:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:03:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:03:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:06:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:06:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:14:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:14:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:15:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:15:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:20:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:20:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:20:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:20:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:39:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:39:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:50:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:50:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:50:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:50:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:52:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 13:52:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:52:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 13:52:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:11:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:11:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:11:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:11:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:17:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:17:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:29:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:29:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:30:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:30:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 14:41:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2144 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:41:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:41:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 14:42:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 14:42:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:05:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:05:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:24:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:24:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:32:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:32:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:32:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:32:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:32:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:32:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:32:49 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:35:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:35:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 15:35:48 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x20dc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 15:35:48 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x20dc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:36:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f84 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:36:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:36:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:48:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:48:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:50:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:50:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 15:52:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:12:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:12:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:13:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:13:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:18:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:18:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:21:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:21:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:27:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:29:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:29:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:35:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:35:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:43:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:43:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:46:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:46:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 16:47:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2230 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 16:47:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2230 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:49:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:49:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:49:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:49:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:49:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:49:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:49:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:49:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:50:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:50:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 16:55:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:55:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:55:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 16:56:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 16:56:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:06:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:06:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:06:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 17:06:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 17:06:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12288 | 2020-02-18 17:07:03 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x2c50 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-18T15:07:03.133622600Z Новое время: 2020-02-18T15:07:03.133932700Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:13:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:13:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:14:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:14:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:23:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:23:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 17:27:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 17:27:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 17:53:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c34 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:21:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:21:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:21:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:21:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:52 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3f9dbac Связанный ИД входа: 0x3f9dbcd Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:21:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3f9dbcd Связанный ИД входа: 0x3f9dbac Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-18 18:21:52 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3f9dbcd Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-18 18:21:52 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3f9dbac Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:21:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3f9dbac Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:24:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:24:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:24:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:31:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:31:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:31:05 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:31:05 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:31:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:31:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:37:09 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:37:09 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:37:09 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:37:09 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:41:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:41:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 18:41:05 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 18:41:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 18:41:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:03:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:03:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:28:17 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:33:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:33:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12290 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: RSA Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Сведения о процессе: Идентификатор процесса: 3164 Время создания процесса: 2020-02-18T17:33:35.152353400Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: 0948e821-a6f2-e267-a2e3-466d0c558d2c Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\ProgramData\Microsoft\Crypto\SystemKeys\d2aee1af8ac1f35c1cb0df81b5179c46_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 19:33:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:33:42 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:43 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\_0000000000000000.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:43 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\programdata.cdf-ms Идентификатор дескриптора: 0x534 Сведения о процессе: Идентификатор процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:43 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\programdata_microsoft_fe5c6d762edd2110.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:43 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\programdata_microsoft_windows_defender_8c225bc560faa67e.cdf-ms Идентификатор дескриптора: 0x614 Сведения о процессе: Идентификатор процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:43 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\programdata_microsoft_windows_defender_definition_updates_d3c2d4757cf0b9a3.cdf-ms Идентификатор дескриптора: 0x50c Сведения о процессе: Идентификатор процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:43 | | Microsoft-Windows-Security-Auditing | 4907: Изменились параметры аудита для объекта. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Объект: Сервер объекта: Security Тип объекта: File Имя объекта: C:\Windows\WinSxS\FileMaps\programdata_microsoft_windows_defender_definition_updates_default_44e57bb5c1e3d0e8.cdf-ms Идентификатор дескриптора: 0x61c Сведения о процессе: Идентификатор процесса: 0x1ad4 Имя процесса: C:\Windows\WinSxS\amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.18362.651_none_5f2896f458eff373\TiWorker.exe Параметры аудита: Исходный дескриптор безопасности: ? Новый дескриптор безопасности: S:ARAI(AU;SAFA;0x1f0116;;;WD)
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:44 | | Microsoft-Windows-Security-Auditing | 4904: Произведена попытка регистрации источника событий безопасности. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0x425ef2f
|
| | Безопасность | Audit Success | 13568 | 2020-02-18 19:33:44 | | Microsoft-Windows-Security-Auditing | 4905: Произведена попытка отмены регистрации источника событий безопасности. Subject Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0x71c Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0x425ef2f
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:34:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:34:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:44:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:44:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:44:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:44:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:45:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:45:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:45:16 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 19:45:16 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:45:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:45:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:49:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:49:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 19:57:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 19:57:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:08:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:08:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:17:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:17:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:17:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:17:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:36:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:36:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:37:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:37:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:57:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:57:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 20:57:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 20:57:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:05:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:05:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:06:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:06:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:28:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:28:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:29:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:29:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:40:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:40:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:47:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:47:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:47:37 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:47:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:47:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:47:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:47:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:47:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:47:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:53:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:53:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:53:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:53:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 21:53:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xefc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-18 21:53:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xefc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x864 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x864 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x864 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x864 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x864 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x1b25698 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x864 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 21:55:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 21:57:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 21:57:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:10:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:10:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:21:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:21:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:29:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:29:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:29:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:29:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:29:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:29:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:33:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b255df Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:38:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:38:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:39:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:39:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:44:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:44:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:44:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:44:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:48:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:48:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:49:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-18 22:49:40 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x1b25698 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 22:54:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 22:54:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 23:41:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 23:41:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 23:58:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 23:58:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-18 23:58:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-18 23:58:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 00:03:43 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2630 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:06:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:06:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:14:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:14:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-3 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x28b4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-3 Имя учетной записи: UMFD-3 Домен учетной записи: Font Driver Host ИД входа: 0x698f206 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x28b4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-3 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x28b4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager ИД входа: 0x6990402 Связанный ИД входа: 0x6990420 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x28b4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager ИД входа: 0x6990420 Связанный ИД входа: 0x6990402 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x28b4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager Код входа: 0x6990402 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 00:15:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager Код входа: 0x6990420 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x1b25698 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host Код входа: 0x1b0a710 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 00:15:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 00:15:32 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x1b0b984 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 00:15:32 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x1b0b962 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:14 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2308 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x69b5a7c Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x69b5a7c Сведения о процессе: Идентификатор процесса: 6360 Время создания процесса: 2020-02-19T09:33:15.524404500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x69b5a7c Сведения о процессе: Идентификатор процесса: 6360 Время создания процесса: 2020-02-19T09:33:15.524404500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a5c Связанный ИД входа: 0x69b5a7c Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Связанный ИД входа: 0x69b5a5c Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x69b5a5c Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 11:33:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x658 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:33:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:33:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:28 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:33:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:33:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:33:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:33:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 11:33:44 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1edc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 11:33:44 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1edc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2cec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2cec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2cec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2cec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2cec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2cec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-19 11:34:11 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x69b5a7c Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x2824 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:34:11 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2824 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:34:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:34:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:34:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:34:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:35:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:35:22 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 11:35:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:48:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:48:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:55:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:55:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 11:55:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 11:55:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:00:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:00:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:00:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:00:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:07:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:07:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:26:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:26:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:26:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:26:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:26:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:26:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 12:26:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1330 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 12:26:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1330 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:27:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:27:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:28:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:28:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:28:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:28:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:30:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:30:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 12:30:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 12:31:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 12:31:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:31:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:31:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:36:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:36:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:36:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:36:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:37:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:37:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:48:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:48:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 12:49:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 12:49:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:03:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:03:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:03:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:03:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:17:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:17:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:25:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:25:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:30:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:30:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:33:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:33:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:33:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:33:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:34:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:34:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:49:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:49:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 13:53:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 13:53:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:04:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:04:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:06:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:06:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:10:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:10:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:21:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:21:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:21:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:21:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:32:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:32:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:34:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:34:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:41:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:41:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:42:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:42:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 14:49:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 14:49:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:03:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:03:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:05:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:05:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:09:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:09:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x217c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x217c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x217c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x217c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x217c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x217c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:09:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:14:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:14:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:15:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:15:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:15:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:15:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:15:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:15:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:15:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:15:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:21:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:28:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:28:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:28:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9f0 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:28:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:29:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:29:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:29:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1cc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:29:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:29:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:29:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:29:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:29:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:29:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:32:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:32:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:32:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:32:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 15:32:20 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:40:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:40:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:41:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:41:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 15:41:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x18ec Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 15:53:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 15:53:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 16:07:40 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x211c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 16:07:41 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:56:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 17:56:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 17:56:50 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 17:56:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:56:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:56:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 17:56:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 17:56:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 17:56:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:58:17 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:58:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8c9d9bd Связанный ИД входа: 0x8c9d9e0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:58:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8c9d9e0 Связанный ИД входа: 0x8c9d9bd Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 17:58:17 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x8c9d9e0 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 17:58:17 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x8c9d9bd Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 17:58:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x8c9d9bd Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 17:59:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 17:59:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:08:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:08:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:08:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:09:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:09:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12288 | 2020-02-19 18:09:08 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x15a0 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-19T16:09:07.060324800Z Новое время: 2020-02-19T16:09:08.309246600Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12288 | 2020-02-19 18:09:08 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x15a0 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-19T16:09:08.310354500Z Новое время: 2020-02-19T16:09:08.310304000Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12288 | 2020-02-19 18:09:08 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x15a0 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-19T16:09:08.310304000Z Новое время: 2020-02-19T16:09:08.310779300Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:14:54 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:20:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:20:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:23:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:23:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:28:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:28:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:31:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:31:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:31:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:31:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:36:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:36:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:42:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:42:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:48:11 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:55:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:55:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1dac Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1dac Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1dac Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1dac Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1dac Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1dac Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 18:55:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:00:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:00:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:14:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:14:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:15:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:15:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 19:15:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x31f0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 19:15:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x31f0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:30:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:30:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:36:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:36:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 19:36:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:37:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:37:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:44:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:44:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 19:53:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 19:53:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 20:19:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 20:19:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 20:29:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 20:29:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 20:36:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 20:36:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 20:49:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 20:49:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 20:51:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 20:51:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 20:51:43 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 20:56:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 20:56:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:03:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:03:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:10:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:16:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:16:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:16:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:16:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:19:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:19:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:19:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:19:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:28:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:28:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:29:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:29:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:31:45 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:51:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:51:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:51:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:51:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:52:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x26b8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:52:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:52:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:52:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2b64 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2b64 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2b64 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2b64 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2b64 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2b64 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:56:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:23 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 21:59:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:53 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:53 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14b4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 21:59:56 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13568 | 2020-02-19 21:59:57 | | Microsoft-Windows-Security-Auditing | 4904: Произведена попытка регистрации источника событий безопасности. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0xb198f31
|
| | Безопасность | Audit Success | 13568 | 2020-02-19 21:59:57 | | Microsoft-Windows-Security-Auditing | 4905: Произведена попытка отмены регистрации источника событий безопасности. Subject Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0x30bc Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0xb198f31
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 21:59:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 21:59:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:00:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:00:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:00:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:00:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:00:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:03:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:03:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:03:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:03:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:10:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:10:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:36:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1df4 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:36:19 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:42:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:42:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:42:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:42:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:42:36 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:42:41 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:42:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0xb5d55d8 Связанный ИД входа: 0xb5d55f9 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:42:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0xb5d55f9 Связанный ИД входа: 0xb5d55d8 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 22:42:41 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0xb5d55f9 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 22:42:41 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0xb5d55d8 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:42:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0xb5d55d8 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:47:23 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1eb8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:47:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:47:44 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:47:44 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:47:44 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:47:44 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:48:23 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c18 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:48:23 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:48:56 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:48:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:48:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:49:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:49:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:49:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:49:26 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:49:26 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:49:26 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:49:26 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:49:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:51:15 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:51:15 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:51:15 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:52:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:52:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:52:32 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:52:43 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x35e8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:52:43 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:53:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x110 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:53:50 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:53:50 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x3684 Имя процесса: C:\Program Files (x86)\WinRAR\WinRAR.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:54:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:54:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:54:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:55:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:55:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2fb0 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:55:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:56:47 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:56:47 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:56:47 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:56:47 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:56:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:56:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:56:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x3478 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 22:56:55 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x3478 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:57:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x3230 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:57:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x3a74 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x193c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x193c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x193c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x193c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x193c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x193c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:58:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x69b5a7c Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:59:23 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:59:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:59:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:59:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 22:59:56 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 22:59:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 22:59:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:00:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:00:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:00:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:00:10 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2124 Имя процесса: C:\Program Files\AVAST Software\Avast\AvastSvc.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:00:13 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:00:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:00:36 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:00:48 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:00:48 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:01 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:05:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:05:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x21bc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:05:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x21bc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:05:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x348 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:05:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:12 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x69b5a7c Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2274 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 103 | 2020-02-19 23:05:32 | | Microsoft-Windows-Eventlog | 1100: Служба ведения журнала событий завершила работу.
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 23:05:32 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x69b5a7c Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:05:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x780 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:44 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:44 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:44 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-19 23:05:44 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:45 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x244 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:47 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x294 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:48 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a4 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x294 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xfccb Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xfcd6 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2f4 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x294 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2f4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x344 Имя нового процесса: ????????????????-??6??c????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x350 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-19 23:05:49 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xfb32
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:05:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:05:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x15376 Связанный ИД входа: 0x15396 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x15396 Связанный ИД входа: 0x15376 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x15376 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x15396 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40f8a Связанный ИД входа: 0x40fb1 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Связанный ИД входа: 0x40f8a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x40f8a Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x46c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd80 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd80 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x40fb1 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x40fb1 Сведения о процессе: Идентификатор процесса: 4636 Время создания процесса: 2020-02-19T21:06:26.550128800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x40fb1 Сведения о процессе: Идентификатор процесса: 4636 Время создания процесса: 2020-02-19T21:06:26.550128800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5080 Время создания процесса: 2020-02-19T21:06:26.774626500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5080 Время создания процесса: 2020-02-19T21:06:26.774626500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:26 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x664 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:28 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:28 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a40 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:29 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a40 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a00 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:06:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a00 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:40 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:43 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:06:44 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:06:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:06:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-19 23:07:21 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x40fb1 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x2334 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:07:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2334 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:08:16 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:08:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:08:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:08:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:08:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:08:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:08:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:10:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2618 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:10:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:12:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1b88 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:12:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:12:47 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x884 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:12:47 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:13:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2304 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:13:09 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:13:17 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x21e8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:13:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:14:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:14:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:14:37 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:14:37 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:14:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:14:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:05 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:15:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:15:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:15:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:15:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:14 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:15:17 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2834 Имя процесса: C:\Program Files\AVAST Software\Avast\AvastSvc.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:19 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:24 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x40fb1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:15:25 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:16:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:16:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:19:28 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x40fb1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1504 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:19:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:19:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:19:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x17d4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:19:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x17d4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:19:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:19:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:19:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:19:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:19:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:19:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 23:20:03 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x40fb1 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x760 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 103 | 2020-02-19 23:20:04 | | Microsoft-Windows-Eventlog | 1100: Служба ведения журнала событий завершила работу.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:17 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:17 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:17 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c4 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-19 23:20:17 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x254 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:19 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x29c Имя нового процесса: ??????????????-??6??4????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:19 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2ac Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xf99b Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xf9ac Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ??????????????-??6??4????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x360 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-19 23:20:20 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xf7ea
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x150b0 Связанный ИД входа: 0x150da Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x150da Связанный ИД входа: 0x150b0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x150b0 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x150da Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd9c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd9c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd94 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:20:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xd94 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:20:37 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4819f Связанный ИД входа: 0x4823f Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Связанный ИД входа: 0x4819f Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x4819f Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x488 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:20:58 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x634 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x4823f Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x4823f Сведения о процессе: Идентификатор процесса: 5012 Время создания процесса: 2020-02-19T21:20:58.963957000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x4823f Сведения о процессе: Идентификатор процесса: 5012 Время создания процесса: 2020-02-19T21:20:58.963957000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 2620 Время создания процесса: 2020-02-19T21:20:59.176010500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 2620 Время создания процесса: 2020-02-19T21:20:59.176010500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:20:59 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x12c0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x12c0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:21:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x162c Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:21:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x162c Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x12c0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:14 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x12c0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:14 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:21:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:21:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:21:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x22f4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:21:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x22f4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14ec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14ec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14ec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14ec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14ec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14ec Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-19 23:21:53 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x4823f Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0xd90 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:21:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xd90 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:22:24 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:22:24 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:22:24 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:22:24 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4823f Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:23:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:23:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:23:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:23:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:23:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:23:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:23:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:23:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:23:06 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4823f Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:26:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:26:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:31:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:31:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:35:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:35:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:17 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:17 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:17 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-19 23:50:17 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:18 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x254 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:19 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x298 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:19 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2ac Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x298 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xedd3 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xeddf Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1452c Связанный ИД входа: 0x14556 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14556 Связанный ИД входа: 0x1452c Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1452c Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14556 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x298 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x354 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-19 23:50:20 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xec55
|
| | Безопасность | Audit Success | 101 | 2020-02-19 23:50:21 | | Microsoft-Windows-Eventlog | 1101: События аудита были отклонены транспортом. 0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e594 Связанный ИД входа: 0x3e639 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Связанный ИД входа: 0x3e594 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3e594 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x48c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdc4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x54c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3e639 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3e639 Сведения о процессе: Идентификатор процесса: 4708 Время создания процесса: 2020-02-19T21:50:22.987372900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3e639 Сведения о процессе: Идентификатор процесса: 4708 Время создания процесса: 2020-02-19T21:50:22.987372900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5160 Время создания процесса: 2020-02-19T21:50:23.215234600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5160 Время создания процесса: 2020-02-19T21:50:23.215234600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14f0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:24 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14f0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a50 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a50 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14f0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:40 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14f0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e639 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:50:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:50:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:53 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2678 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-19 23:50:53 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2678 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:51:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:51:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:51:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:51:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-19 23:51:18 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3e639 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1f0c Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:18 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f0c Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x22dc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x22dc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x22dc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x22dc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x22dc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:51:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e639 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x22dc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:52:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:52:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:52:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:52:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:52:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:52:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-19 23:55:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-19 23:55:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-19 23:57:03 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3e639 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:57:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:57:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:57:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:57:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-19 23:57:03 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x63c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 103 | 2020-02-19 23:57:05 | | Microsoft-Windows-Eventlog | 1100: Служба ведения журнала событий завершила работу.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:32 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x24c Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-20 00:19:32 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:33 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x290 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:33 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a0 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x290 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2f4 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x290 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2f4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x344 Имя нового процесса: ????????????????-??6??c????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 00:19:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x358 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xed52 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xed48 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1445a Связанный ИД входа: 0x14484 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14484 Связанный ИД входа: 0x1445a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1445a Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14484 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 00:19:35 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xeb82
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x488 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3defb Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3defb Сведения о процессе: Идентификатор процесса: 4640 Время создания процесса: 2020-02-19T22:19:37.189542600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3defb Сведения о процессе: Идентификатор процесса: 4640 Время создания процесса: 2020-02-19T22:19:37.189542600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 4584 Время создания процесса: 2020-02-19T22:19:37.430032300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 4584 Время создания процесса: 2020-02-19T22:19:37.430032300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3de8d Связанный ИД входа: 0x3defb Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Связанный ИД входа: 0x3de8d Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3de8d Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x5bc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b70 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:19:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b70 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:40 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:19:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3defb Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:19:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:19:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:20:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:20:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:20:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2764 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 00:20:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2764 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:20:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:20:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 00:20:32 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3defb Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1818 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:32 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1818 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25f8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25f8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25f8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25f8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25f8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:20:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25f8 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:21:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:21:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:21:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:21:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:21:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:21:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:26:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:26:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:26:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:26:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:28:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:28:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:29:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:29:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:29:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:29:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:29:48 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:29:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:29:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:34:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:34:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:34:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:34:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:38:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:38:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:38:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:38:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:38:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:38:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:41:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x21d0 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:41:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:43:13 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:43:25 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3defb Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x14cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:49:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:49:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:55:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x1db4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host ИД входа: 0x3afe40 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1db4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-2 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x1db4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x3b0d43 Связанный ИД входа: 0x3b0d8a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1db4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x3b0d8a Связанный ИД входа: 0x3b0d43 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1db4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x3b0d43 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:55:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x3b0d8a Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:55:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3defb Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host Код входа: 0xed52 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 00:55:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 11:01:46 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14484 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 11:01:46 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1445a Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:47 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d420d Связанный ИД входа: 0x3d422d Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Связанный ИД входа: 0x3d420d Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:01:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d420d Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:01:47 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xe34 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 11:01:47 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x5bc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d422d Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d422d Сведения о процессе: Идентификатор процесса: 8208 Время создания процесса: 2020-02-20T09:01:48.017697900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3d422d Сведения о процессе: Идентификатор процесса: 8208 Время создания процесса: 2020-02-20T09:01:48.017697900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:01:48 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:01:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 11:01:49 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2004 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 11:01:49 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2004 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:01:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:01:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:01:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:01:50 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:01:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:00 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:03 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3d422d Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:02:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:02:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x33b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x33b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x33b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x33b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x33b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x33b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 11:02:43 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d422d Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x6d4 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:02:43 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6d4 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:02:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:02:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 11:04:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:12:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:12:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:12:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:12:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:12:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:12:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:13:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:13:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:14:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:14:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:16:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:16:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:27:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:27:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:28:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:28:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:41:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:41:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:46:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:46:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:46:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:46:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 11:55:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 11:55:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:04:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:04:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:04:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:04:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:10:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:10:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:11:25 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x3374 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:11:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:11:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:11:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:11:40 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:11:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:11:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3d422d Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bf8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 103 | 2020-02-20 12:14:06 | | Microsoft-Windows-Eventlog | 1100: Служба ведения журнала событий завершила работу.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3d422d Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x6e4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:19 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:19 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:19 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-20 12:14:19 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:20 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x24c Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:21 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x294 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:21 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a4 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x294 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xeda7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2fc Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xedb5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2f4 Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x294 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2f4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x344 Имя нового процесса: ????????????????-??6??c????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 12:14:22 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xebec
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1453a Связанный ИД входа: 0x14564 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14564 Связанный ИД входа: 0x1453a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1453a Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14564 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdbc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdbc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdb4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3e487 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3e487 Сведения о процессе: Идентификатор процесса: 4712 Время создания процесса: 2020-02-20T10:14:25.478964900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3e487 Сведения о процессе: Идентификатор процесса: 4712 Время создания процесса: 2020-02-20T10:14:25.478964900Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 4980 Время создания процесса: 2020-02-20T10:14:25.701398500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 4980 Время создания процесса: 2020-02-20T10:14:25.701398500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Связанный ИД входа: 0x3e487 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Связанный ИД входа: 0x3e43a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3e43a Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x47c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:25 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x64c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a58 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:27 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1a58 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:28 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:39 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:41 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3e487 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:14:41 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:14:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:14:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2530 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:14:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2530 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:15:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:15:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 12:15:20 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3e487 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1d94 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:20 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1d94 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:15:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:15:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x230c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x230c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:33 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x230c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x230c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x230c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:15:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x230c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:15:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:15:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:16:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:16:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:16:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:16:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:16:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:16:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:16:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:16:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:21:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9d0 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:21:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:21:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:21:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:21:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:21:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2a14 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:22:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:22:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:22:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x3ac Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:22:15 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x3ac Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:22:40 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:22:48 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:23:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:23:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:23:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:23:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:23:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:23:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:23:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:23:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:23:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:24:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:24:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e43a Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2960 Имя процесса: C:\Windows\System32\dllhost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:25:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 12:25:44 | | Microsoft-Windows-Security-Auditing | 4904: Произведена попытка регистрации источника событий безопасности. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0x35805d
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 12:25:44 | | Microsoft-Windows-Security-Auditing | 4905: Произведена попытка отмены регистрации источника событий безопасности. Subject Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа в систему: 0x3e7 Процесс: Идентификатор процесса: 0xb8c Имя процесса: C:\Windows\System32\VSSVC.exe Источник событий: Имя источника: VSSAudit Идентификатор источника событий: 0x35805d
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:25:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:25:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:25:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:25:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:25:46 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:25:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:25:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:25:47 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:26:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:26:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:26:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:26:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:26:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:27:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:27:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:27:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:01 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3e487 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1534 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x344 Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 103 | 2020-02-20 12:28:29 | | Microsoft-Windows-Eventlog | 1100: Служба ведения журнала событий завершила работу.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 12:28:29 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3e487 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x748 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:44 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:44 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:44 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c0 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-20 12:28:44 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:45 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x258 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:46 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x29c Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:46 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2ac Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xfd3d Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xfd49 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ??????????????-??6??0????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c0 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x358 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 12:28:47 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xfbac
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x15611 Связанный ИД входа: 0x1563b Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1563b Связанный ИД входа: 0x15611 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x15611 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1563b Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb60 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:48 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb60 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x7e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441d0 Связанный ИД входа: 0x441f4 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x7e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Связанный ИД входа: 0x441d0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x7e4 Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x441d0 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x480 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xf1c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xf1c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:49 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x668 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x441f4 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x441f4 Сведения о процессе: Идентификатор процесса: 4920 Время создания процесса: 2020-02-20T10:28:49.939026600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x441f4 Сведения о процессе: Идентификатор процесса: 4920 Время создания процесса: 2020-02-20T10:28:49.939026600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5368 Время создания процесса: 2020-02-20T10:28:50.168596500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5368 Время создания процесса: 2020-02-20T10:28:50.168596500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:28:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:28:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:52 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b6c Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:28:52 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b6c Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:28:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:29:13 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x26bc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:29:13 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x26bc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 12:29:45 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x441f4 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x188c Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:45 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x188c Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:29:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:29:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:29:56 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9cc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9cc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9cc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9cc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9cc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x9cc Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:30:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:30:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:30:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:30:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:30:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1344 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:30:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x441f4 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1628 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:30:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:30:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:30:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:30:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:31:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:31:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:31:58 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x441f4 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:37:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:37:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:37:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:37:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:37:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:37:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:39:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:39:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:43:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:43:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:32 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c4 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x254 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-20 12:59:32 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x29c Имя нового процесса: ??????????????-??6??4????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:34 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2ac Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xf167 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xf172 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1499c Связанный ИД входа: 0x149c8 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x149c8 Связанный ИД входа: 0x1499c Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3a8 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1499c Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x149c8 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ??????????????-??6??4????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c4 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x354 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 12:59:35 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xefa6
|
| | Безопасность | Audit Success | 101 | 2020-02-20 12:59:36 | | Microsoft-Windows-Eventlog | 1101: События аудита были отклонены транспортом. 0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xaa8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xaa8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xe5c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:36 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xe5c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3edd5 Связанный ИД входа: 0x3ee57 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Связанный ИД входа: 0x3edd5 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3edd5 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x48c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:37 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x5a8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3ee57 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3ee57 Сведения о процессе: Идентификатор процесса: 4900 Время создания процесса: 2020-02-20T10:59:37.998656300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3ee57 Сведения о процессе: Идентификатор процесса: 4900 Время создания процесса: 2020-02-20T10:59:37.998656300Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5296 Время создания процесса: 2020-02-20T10:59:38.228951800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5296 Время создания процесса: 2020-02-20T10:59:38.228951800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x156c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x156c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b10 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 12:59:40 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b10 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x156c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:50 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x156c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:54 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x156c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 12:59:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3ee57 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 12:59:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 12:59:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:00:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:00:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 13:00:03 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2514 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 13:00:03 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2514 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:00:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:00:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:00:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:00:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 13:00:33 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3ee57 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1c94 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:00:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c94 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:00:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:00:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f08 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f08 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f08 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f08 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f08 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:01:07 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3ee57 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f08 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:01:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:01:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:01:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:01:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:01:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:01:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:01:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:01:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:02:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:02:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:02:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:02:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:09:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:09:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:14:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:14:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:14:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:14:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:20:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:20:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:20:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:20:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:20:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:20:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xfec Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host ИД входа: 0x203b08 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xfec Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-2 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0xfec Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x204e55 Связанный ИД входа: 0x204e8a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xfec Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x204e8a Связанный ИД входа: 0x204e55 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0xfec Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x204e55 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x204e8a Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:28:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 13:28:11 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3ee57 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:28:11 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:28:11 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:28:11 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:28:11 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:28:11 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 13:28:12 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host Код входа: 0xf172 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 13:28:13 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x149c8 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-20 13:28:13 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1499c Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:41 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21e9f3 Связанный ИД входа: 0x21ea19 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Связанный ИД входа: 0x21e9f3 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x65c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:41:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x21e9f3 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:41 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x29e4 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 13:41:41 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x5a8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x21ea19 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x21ea19 Сведения о процессе: Идентификатор процесса: 2172 Время создания процесса: 2020-02-20T11:41:42.104967500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x21ea19 Сведения о процессе: Идентификатор процесса: 2172 Время создания процесса: 2020-02-20T11:41:42.104967500Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bc8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:42 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bc8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:41:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:41:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:45 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bc8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:41:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:54 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:58 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:41:58 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1bc8 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:42:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:42:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 13:42:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xc48 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 13:42:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xc48 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:42:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:42:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x268c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x268c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x268c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x268c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x268c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:22 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x268c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 13:42:37 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x21ea19 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0xa9c Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:37 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x21ea19 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa9c Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:42:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:42:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:42:46 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:43:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:43:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 13:43:49 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x21ea19 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:49:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:49:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 13:56:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 13:56:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:30 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:30 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:30 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c8 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:30 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x258 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c8 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-20 14:02:30 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:31 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x29c Имя нового процесса: ??????????????-??6??8????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c8 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2ac Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ??????????????-??6??8????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c8 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x29c Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:32 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xee71 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3c4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xee7d Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3c4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1462a Связанный ИД входа: 0x14657 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x14657 Связанный ИД входа: 0x1462a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3c4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1462a Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14657 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x360 Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x370 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-20 14:02:33 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xece8
|
| | Безопасность | Audit Success | 101 | 2020-02-20 14:02:34 | | Microsoft-Windows-Eventlog | 1101: События аудита были отклонены транспортом. 0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xad8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xad8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdfc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xdfc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3df71 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3df71 Сведения о процессе: Идентификатор процесса: 4964 Время создания процесса: 2020-02-20T12:02:35.755002600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3df71 Сведения о процессе: Идентификатор процесса: 4964 Время создания процесса: 2020-02-20T12:02:35.755002600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df17 Связанный ИД входа: 0x3df71 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Связанный ИД входа: 0x3df17 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3df17 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x49c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:35 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x5d4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-20 14:02:36 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 14:02:36 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5520 Время создания процесса: 2020-02-20T12:02:35.980482600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-20 14:02:36 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5520 Время создания процесса: 2020-02-20T12:02:35.980482600Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:36 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:37 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14fc Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:02:38 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x14fc Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:39 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:50 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:51 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:02:53 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:02:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:02:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:03:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:03:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:03:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x254c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:03:00 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x254c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:03:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:03:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:03:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:03:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-20 14:03:30 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3df71 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x260 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x260 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:03:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:03:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x5b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x5b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x5b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x5b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x5b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:03:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x5b4 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:04:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:04:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:04:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:04:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:04:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:04:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:04:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:04:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:06:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:06:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:06:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:06:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:12:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:12:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:12:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:12:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:12:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:12:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:17:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:17:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:32:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:32:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:32:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:32:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:33:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:33:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:33:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:33:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 14:33:34 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19c4 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:39:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:39:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:40:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:40:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:40:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:40:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:40:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:40:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:46:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:46:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:46:41 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:47:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:47:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:08 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:08 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:37 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 14:47:38 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df17 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 14:52:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 14:52:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 15:15:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 15:15:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 15:33:28 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 15:47:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 15:47:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 15:54:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 15:54:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 15:56:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 15:56:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 15:59:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 15:59:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:02:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:02:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:02:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:02:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:02:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:02:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:07:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:07:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:07:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:07:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:07:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:07:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 16:08:42 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:23:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:23:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:31:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:31:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:32:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:32:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:37:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:37:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:37:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:37:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 16:43:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 16:43:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:07:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:07:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 17:07:39 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2544 Имя процесса: C:\Windows\System32\VSSVC.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:08:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:08:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:26:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:26:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:30:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:30:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:32:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:32:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 17:42:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 17:42:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 17:42:26 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:42:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:42:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:42:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:42:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:47:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:47:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 17:47:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 17:47:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 18:31:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 18:31:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 18:31:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x15f8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-20 18:31:22 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x15f8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 18:40:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 18:40:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 18:47:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 18:47:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 19:05:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 19:05:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 19:07:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 19:07:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 19:14:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 19:14:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 19:30:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 19:30:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 19:32:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 19:32:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 19:47:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 20:02:36 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:02:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:02:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12288 | 2020-02-20 20:02:50 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x2bd0 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-20T18:02:50.602476000Z Новое время: 2020-02-20T18:02:50.603184500Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:33:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:33:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:47:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:47:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 20:54:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 20:54:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 21:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 21:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 21:02:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 21:02:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:02:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:02:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:02:42 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 21:07:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 21:07:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:09:25 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3df71 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1634 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 21:51:34 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 21:51:34 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 21:51:35 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 21:52:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 21:52:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 22:02:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 22:02:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 22:39:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 22:39:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 22:50:42 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 22:57:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 22:57:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:02:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:02:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:15:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:15:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:24:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:24:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:28:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:28:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:34:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:34:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:38:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:38:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:52:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:52:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:53:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:53:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 23:53:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 23:53:26 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-20 23:53:26 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3df71 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-20 23:58:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-20 23:58:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 00:03:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 00:03:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 00:03:54 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x3a4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 00:03:54 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x3a4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 00:06:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 00:06:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 00:07:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 00:07:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 00:38:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 00:38:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 00:46:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 00:46:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 00:53:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 00:53:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:10:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 01:10:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:24:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 01:24:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2dcc Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host ИД входа: 0x4d17949 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2dcc Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-2 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x2dcc Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x4d196bf Связанный ИД входа: 0x4d196dc Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2dcc Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x4d196dc Связанный ИД входа: 0x4d196bf Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x2dcc Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x4d196bf Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 01:27:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x4d196dc Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-21 01:27:26 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3df71 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 01:27:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 01:27:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 01:27:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 01:27:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 01:27:26 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12545 | 2020-02-21 01:27:27 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host Код входа: 0xee7d Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-21 01:27:28 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x14657 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-21 01:27:28 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1462a Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:05:56 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x630 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x4d33cd1 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x4d33cd1 Сведения о процессе: Идентификатор процесса: 8276 Время создания процесса: 2020-02-21T09:05:57.590165800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x4d33cd1 Сведения о процессе: Идентификатор процесса: 8276 Время создания процесса: 2020-02-21T09:05:57.590165800Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cb1 Связанный ИД входа: 0x4d33cd1 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Связанный ИД входа: 0x4d33cb1 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x4d33cb1 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 11:05:57 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x5d4 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:05:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:05:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:05:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:05:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:05:58 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2dd0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:05:58 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2dd0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:05:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:05:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:00 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 11:06:03 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1298 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 11:06:03 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1298 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:09 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:10 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:12 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:12 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2dd0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:13 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:06:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:06:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:49 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x640 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-21 11:06:52 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x4d33cd1 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0xec4 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:06:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xec4 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:07:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:07:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:07:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:07:30 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:08:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:08:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:08:57 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:09:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 11:15:56 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:19:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:19:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:20:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:20:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:24:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:24:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:24:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:24:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:24:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:24:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:25:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:25:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:25:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:25:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:31:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:31:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:44:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:44:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:54:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:54:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 11:55:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 11:55:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 12:07:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 12:07:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 12:24:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 12:24:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 12:46:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 12:46:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 12:46:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 12:46:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 12:46:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 12:46:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 12:46:14 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa78 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 12:46:14 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa78 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 12:47:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 12:47:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:05:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:05:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:05:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:05:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:05:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:05:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:25:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:25:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 13:26:18 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:26:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:26:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:26:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:26:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 13:26:19 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 13:26:19 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x4d33cd1 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 13:31:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 13:31:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:08:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x26c8 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:08:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2dd0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:09:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:09:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:09:33 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x4d33cd1 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2dd0 Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:09:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:09:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 103 | 2020-02-21 14:10:38 | | Microsoft-Windows-Eventlog | 1100: Служба ведения журнала событий завершила работу.
|
| | Безопасность | Audit Success | 12545 | 2020-02-21 14:10:38 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x4d33cd1 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:10:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:10:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:10:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:10:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:10:38 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:10:56 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x90 Имя нового процесса: ????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:10:56 | | Microsoft-Windows-Security-Auditing | 4696: Процессу назначен основной токен. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7 Сведения о процессе: Идентификатор процесса: 0x4 Имя процесса: ? Конечный процесс: Код конечного процесса: 0x90 Имя конечного процесса: Registry Сведения о новом токене: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - Код входа: 0x3e7
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:10:56 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1c8 Имя нового процесса: ??????????????-??6?4????0--?0??????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x4 Имя процесса-создателя: ??????? Командная строка процесса: ????0--?0??????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:10:56 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x1e4 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c8 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13573 | 2020-02-21 14:10:56 | | Microsoft-Windows-Security-Auditing | 4826: Загружены данные конфигурации загрузки. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Общие параметры: Параметры загрузки: - Дополнительные параметры: %%1843 Политика доступа к конфигурации: %%1846 Ведение журнала событий системы: %%1843 Отладка ядра: %%1843 Тип запуска VSM: %%1848 Параметры подписи: Подпись теста: %%1843 Подписание рейса: %%1843 Отключить проверку целостности: %%1843 Параметры низкоуровневой оболочки: Параметры загрузки низкоуровневой оболочки: - Тип запуска низкоуровневой оболочки: %%1848 Отладка низкоуровневой оболочки: %%1843
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:10:58 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x244 Имя нового процесса: ??????????????-??6??8????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c8 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:10:59 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2a8 Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x244 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 12288 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4608: Выполняется запуск Windows. Это событие записывается в журнал при запуске LSASS.EXE и инициализации подсистемы аудита.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о входе: Тип входа: 0 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: - Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x4 Имя процесса: ? Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: - Пакет проверки подлинности: - Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-0 Имя учетной записи: UMFD-0 Домен учетной записи: Font Driver Host ИД входа: 0xe044 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x304 Имя процесса: C:\Windows\System32\wininit.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3ac Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host ИД входа: 0xe051 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3ac Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e4 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-1 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x3ac Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1388a Связанный ИД входа: 0x1389d Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3ac Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager ИД входа: 0x1389d Связанный ИД входа: 0x1388a Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x3ac Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: NETWORK SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e4 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1388a Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1389d Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x2fc Имя нового процесса: ??????????????-??6??8????0--?0????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x1c8 Имя процесса-создателя: ????????????????????4? Командная строка процесса: ????0--?0????????????????????4? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x304 Имя нового процесса: ???????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x244 Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x30c Имя нового процесса: ??????????????e?????????????????????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x2fc Имя процесса-создателя: ????????????????????4 Командная строка процесса: ????0--?0????????????????????4 В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x34c Имя нового процесса: ????????????????-??6??4????0--?0???????????????e?????? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13312 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4688: Создан новый процесс. Субъект-создатель: ИД безопасности: S-1-5-18 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x3e7 Целевой субъект: ИД безопасности: S-1-0-0 Имя учетной записи: - Домен учетной записи: - ИД входа: 0x0 Сведения о процессе: ИД нового процесса: 0x360 Имя нового процесса: ??????????????e?????????????????????????????????????4? Тип повышения прав маркера: %%1936 Обязательная метка: S-1-16-16384 ИД процесса-создателя: 0x304 Имя процесса-создателя: ???????????????e?????? Командная строка процесса: ????0--?0???????????????e?????? В поле "Тип повышения прав маркера" указан тип маркера, назначенного новому процессу в соответствии с политикой управления учетными записями. Тип 1 соответствует полному маркеру без удаления привилегий и отключения групп. Полный маркер используется, только если управление учетными записями отключено либо пользователь имеет встроенную учетную запись "Администратор" или учетную запись службы. Тип 2 соответствует расширенному маркеру без удаления привилегий и отключения групп. Расширенный маркер используется, если управление учетными записями включено и пользователь запускает программу в качестве администратора. Кроме того, он применяется, если приложение настроено таким образом, что всегда требует привилегии администратора или максимальные привилегии, а пользователь состоит в группе администраторов. Тип 3 соответствует ограниченному маркеру с удалением привилегий администратора и отключением групп администраторов. Ограниченный маркер используется, когда управление учетными записями включено, приложению не требуются привилегии администратора и пользователь не запускает программу в качестве администратора.
|
| | Безопасность | Audit Success | 13568 | 2020-02-21 14:11:00 | | Microsoft-Windows-Security-Auditing | 4902: Создана таблица политики аудита по пользователям. Число элементов: 0 Идентификатор политики: 0xdeb0
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY ИД входа: 0x3e5 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Код входа: 0x3e5 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb18 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:01 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xb18 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 5033: Драйвер брандмауэра Windows запущен успешно.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x39daf Связанный ИД входа: 0x3a094 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Связанный ИД входа: 0x39daf Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x39daf Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x498 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xf0c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:02 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e4 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xf0c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3a094 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12290 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5024: Служба брандмауэра Windows запущена успешно.
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3a094 Сведения о процессе: Идентификатор процесса: 4580 Время создания процесса: 2020-02-21T12:11:03.256949200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x3a094 Сведения о процессе: Идентификатор процесса: 4580 Время создания процесса: 2020-02-21T12:11:03.256949200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5316 Время создания процесса: 2020-02-21T12:11:03.605241100Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа в систему: 0x3e5 Сведения о процессе: Идентификатор процесса: 5316 Время создания процесса: 2020-02-21T12:11:03.605241100Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:03 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:04 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:05 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b28 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:05 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b28 Имя процесса: C:\Windows\System32\SearchIndexer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:06 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:16 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:19 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:20 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:29 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2734 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 14:11:29 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2734 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:11:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:11:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-21 14:11:58 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3a094 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x16b0 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:11:58 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x16b0 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa2c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa2c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa2c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa2c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa2c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:12:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0xa2c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:13:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:13:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:13:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:13:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:13:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:13:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:13:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:13:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:15:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:15:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:15:51 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 14:20:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:21:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:21:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:21:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:21:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:26:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:26:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:40:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:40:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:40:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:40:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:51:12 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:51:12 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:57:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:57:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 14:57:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 14:57:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 15:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 15:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 15:11:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 15:11:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:12:47 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 15:15:35 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 15:15:35 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:17:40 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:21:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 15:34:57 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:11:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:11:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:11:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:11:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:16:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:16:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:16:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:16:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:16:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:16:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:17:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:17:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:29:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:29:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:29:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:29:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:34:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:34:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:34:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:34:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:34:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:34:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:34:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:34:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:41:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:41:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 16:43:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 16:43:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 16:43:13 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19a0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 16:43:13 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x19a0 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:07:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:07:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:12:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:12:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 19:12:23 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa24 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-21 19:12:23 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0xa24 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:20:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:20:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:30:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:30:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 19:30:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 19:30:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 19:30:54 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:30:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:30:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:36:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:36:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:40:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:40:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 19:49:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 19:49:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:03:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:03:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:03:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:03:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:10:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:10:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:12:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:12:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:18:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:18:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:18:13 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:18:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:18:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:26:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:26:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:26:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:26:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:26:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:26:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 20:26:27 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:30:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:30:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:41:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:41:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 20:56:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 20:56:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:11:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:11:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:19:57 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:20:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:20:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 21:20:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:25:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:25:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:53:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:53:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:57:41 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:57:41 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 21:57:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 21:57:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:07:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:07:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:18:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:18:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:23:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:23:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:23:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:23:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:23:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:23:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:23:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:23:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12288 | 2020-02-21 22:23:47 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x1244 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-21T20:23:46.889826200Z Новое время: 2020-02-21T20:23:47.912342500Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12288 | 2020-02-21 22:23:47 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x1244 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-21T20:23:47.912787700Z Новое время: 2020-02-21T20:23:47.913629100Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12288 | 2020-02-21 22:23:47 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x1244 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-21T20:23:47.914724100Z Новое время: 2020-02-21T20:23:47.915618200Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 22:53:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 22:53:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:00:23 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:00:23 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:00:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:00:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:00:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:00:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:00:55 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:06:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:06:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:19:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:19:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-21 23:19:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:20:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:20:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:28:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:28:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:28:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:28:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:42:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:42:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:43:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:43:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-21 23:54:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-21 23:54:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:00:15 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:00:15 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:00:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:00:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:04 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:01:05 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:04:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:04:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:01 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:02 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:04:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:04:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:04:21 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:12:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:12:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 00:12:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x114c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 00:12:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x114c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:14:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:15:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:15:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:26:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:26:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:26:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:26:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:29:09 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x3a094 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:34:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:34:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 00:37:14 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x3a094 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x158c Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 00:39:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 00:39:57 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 00:40:01 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2440 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 00:40:01 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2440 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:06:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 01:06:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:15:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 01:15:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:17:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 01:17:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x1fa0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host ИД входа: 0x537aca1 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1fa0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-2 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x1fa0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x537bf91 Связанный ИД входа: 0x537bfb0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1fa0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager ИД входа: 0x537bfb0 Связанный ИД входа: 0x537bf91 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x1fa0 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x537bf91 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 01:17:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x537bfb0 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 01:18:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 01:18:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-22 01:18:02 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x3a094 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 01:18:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 01:18:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 01:18:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 01:18:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 01:18:02 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12545 | 2020-02-22 01:18:03 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-1 Имя учетной записи: UMFD-1 Домен учетной записи: Font Driver Host Код входа: 0xe051 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-22 01:18:04 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1389d Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-22 01:18:04 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-1 Имя учетной записи: DWM-1 Домен учетной записи: Window Manager Код входа: 0x1388a Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12290 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x5398e14 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x5398e14 Сведения о процессе: Идентификатор процесса: 10924 Время создания процесса: 2020-02-22T09:35:51.690065200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x5398e14 Сведения о процессе: Идентификатор процесса: 10924 Время создания процесса: 2020-02-22T09:35:51.690065200Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398df4 Связанный ИД входа: 0x5398e14 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Связанный ИД входа: 0x5398df4 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x5398df4 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1f6c Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 11:35:51 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:35:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:35:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:52 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:53 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:54 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:35:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:05 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:07 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:08 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:09 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:36:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:36:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:45 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:45 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:46 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:46 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:46 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:46 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:46 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1c6c Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Failure | 12544 | 2020-02-22 11:36:47 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x5398e14 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x960 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:36:47 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x960 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:37:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:37:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:38:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:38:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:38:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:38:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:52 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:38:52 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:49 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 11:45:50 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:46:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:46:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:46:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:46:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:50:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:50:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:53:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:53:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 11:54:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 11:54:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 12:25:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 12:25:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 12:28:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 12:28:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 12:28:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 12:28:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 12:49:14 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 12:49:14 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 12:49:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 12:49:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 12:49:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 12:49:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 12:53:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 12:53:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:02:42 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:02:42 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:25:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:25:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 13:25:30 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:29:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:29:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:35:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:35:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:35:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:35:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:44:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:44:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 13:53:37 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 13:53:37 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 14:12:02 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 14:12:02 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 14:12:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x104 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 14:12:07 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x104 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 14:12:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 14:12:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:11:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:11:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:11:46 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:15:59 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:15:59 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:21:06 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:31:00 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:53:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:53:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:53:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:53:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:53:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:53:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:53:44 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:53:44 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:53:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:53:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:46 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:47 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 15:53:55 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x5398e14 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1ddc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 16:34:27 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 16:34:27 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 16:37:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 16:37:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 16:37:11 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x26a8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 16:37:11 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x26a8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 17:11:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 17:11:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 17:37:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 17:37:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 17:43:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 17:43:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 17:58:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 17:58:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 18:08:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 18:08:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 18:08:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2874 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 18:08:30 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2874 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 18:10:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 18:10:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 18:13:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 18:13:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 18:28:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 18:28:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 18:43:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 18:43:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 18:51:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 18:51:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:08:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:08:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:13:46 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:13:46 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:24:22 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:24:22 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:25:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:25:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:42:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:42:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:49:47 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:49:47 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 19:58:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 19:58:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 20:01:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 20:01:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 20:02:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 20:02:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 20:02:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 20:02:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 20:02:31 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 20:07:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 20:07:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 20:37:26 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 20:37:26 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 20:51:38 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 20:51:38 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:00:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:00:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:16:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:16:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:23:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:23:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:37:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:37:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 21:37:11 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16e8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-22 21:37:11 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x16e8 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:49:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:49:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:54:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:54:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 21:58:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 21:58:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:06:52 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:06:52 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:13:36 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:13:36 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:23:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:23:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:36:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:36:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:37:06 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:37:06 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:42:53 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:42:53 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:46:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:46:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 22:59:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 22:59:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:15:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:15:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:15:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:15:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:24:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:24:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:30:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:30:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:35:08 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:35:08 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-22 23:36:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:43:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:43:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-22 23:58:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-22 23:58:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:14:05 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:14:05 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:28:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:28:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:48:49 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:48:49 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:55 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:48:56 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:49:00 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:49:00 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 00:49:01 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:49:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:49:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:49:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:49:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 00:49:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b34 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 00:49:32 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x1b34 Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:51:43 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:51:43 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 00:58:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 00:58:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:06:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:06:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:06:30 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:06:30 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:06:30 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12288 | 2020-02-23 01:06:45 | | Microsoft-Windows-Security-Auditing | 4616: Системное время изменено. Предмет: Идентификатор безопасности: S-1-5-19 Имя учетной записи: LOCAL SERVICE Домен учетной записи: NT AUTHORITY Идентификатор входа: 0x3e5 Сведения о процессе: Идентификатор процесса: 0x23b0 Имя: C:\Windows\System32\svchost.exe Предыдущее время: 2020-02-22T23:06:45.714269700Z Новое время: 2020-02-22T23:06:45.714221400Z Данное событие возникает при изменении системного времени. Обычно служба времени Windows, которая имеет системную привилегию, регулярно изменяет системное время. Другие изменения системного времени могут свидетельствовать о попытках несанкционированного использования компьютера.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:13:45 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:13:45 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:15:09 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:15:09 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:28 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x5398e14 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 01:17:29 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:18:03 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:18:03 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:39:07 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:39:07 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 01:55:11 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 01:55:11 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:14:04 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 02:14:04 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:56 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 02:21:56 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:57 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: UMFD-3 Домен учетной записи: Font Driver Host GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x26f4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:57 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-96-0-3 Имя учетной записи: UMFD-3 Домен учетной записи: Font Driver Host ИД входа: 0x8df58a9 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x26f4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: DWM-3 Домен учетной записи: Window Manager GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x26f4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Сетевой адрес: - Порт: - Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager ИД входа: 0x8df7613 Связанный ИД входа: 0x8df7635 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x26f4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1842 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager ИД входа: 0x8df7635 Связанный ИД входа: 0x8df7613 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x26f4 Имя процесса: C:\Windows\System32\winlogon.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager Код входа: 0x8df7613 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege SeImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-90-0-3 Имя учетной записи: DWM-3 Домен учетной записи: Window Manager Код входа: 0x8df7635 Привилегии: SeAssignPrimaryTokenPrivilege SeAuditPrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 02:21:58 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12545 | 2020-02-23 02:21:59 | | Microsoft-Windows-Security-Auditing | 4647: Выход, запрошенный пользователем: Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x5398e14 Данное событие возникает, когда выход начат. Дальнейшие действия, запрошенные пользователем, не выполняются. Данное событие можно рассматривать как событие выхода.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 02:21:59 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 02:21:59 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 02:21:59 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 02:21:59 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 02:21:59 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:17 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1614 Имя процесса: C:\Windows\System32\LogonUI.exe
|
| | Безопасность | Audit Success | 12290 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 5061: Операция шифрования. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x8e10c09 Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Операция шифрования: Операция: %%2480 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 5058: Операция с файлом ключей. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x8e10c09 Сведения о процессе: Идентификатор процесса: 8376 Время создания процесса: 2020-02-23T09:53:18.630742000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: UNKNOWN Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Сведения об операции с файлом ключей: Путь к файлу: C:\Users\Leo\AppData\Roaming\Microsoft\Crypto\Keys\de7cf8a7901d2ad13e5c67c29e5d1662_9f5c6f6f-c9fc-401b-82c1-cab58a31967c Операция: %%2458 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12292 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 5059: Операция переноса ключа. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа в систему: 0x8e10c09 Сведения о процессе: Идентификатор процесса: 8376 Время создания процесса: 2020-02-23T09:53:18.630742000Z Криптографические параметры: Имя поставщика: Microsoft Software Key Storage Provider Имя алгоритма: ECDSA_P256 Имя ключа: Microsoft Connected Devices Platform device certificate Тип ключа: %%2500 Дополнительные сведения: Операция: %%2464 Код возврата: 0x0
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 4648: Выполнена попытка входа в систему с явным указанием учетных данных. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Код входа: 0x3e7 GUID входа: {00000000-0000-0000-0000-000000000000} Были использованы учетные данные следующей учетной записи: Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L GUID входа: {00000000-0000-0000-0000-000000000000} Целевой сервер: Имя целевого сервера: localhost Дополнительные сведения: localhost Сведения о процессе: Идентификатор процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Сетевой адрес: 127.0.0.1 Порт: 0 Данное событие возникает, когда процесс пытается выполнить вход с учетной записью, явно указав ее учетные данные. Это обычно происходит при использовании конфигураций пакетного типа, например, назначенных задач, или выполнении команды RUNAS.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Связанный ИД входа: 0x8e10c09 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 2 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1843 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Связанный ИД входа: 0x8e10be7 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x76c Имя процесса: C:\Windows\System32\svchost.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: 127.0.0.1 Порт источника: 0 Подробные сведения о проверке подлинности: Процесс входа: User32 Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x8e10be7 Привилегии: SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 11:53:18 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x66c Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:19 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-23 11:53:19 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-96-0-2 Имя учетной записи: UMFD-2 Домен учетной записи: Font Driver Host Код входа: 0x537aca1 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:53:19 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:19 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:19 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12545 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x537bfb0 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12545 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4634: Выполнен выход учетной записи из системы. Субъект: ИД безопасности: S-1-5-90-0-2 Имя учетной записи: DWM-2 Домен учетной записи: Window Manager Код входа: 0x537bf91 Тип входа: 2 Данное событие возникает при уничтожении сеанса входа. Его можно однозначно связать с событием входа с помощью значения "Код входа". Коды входа остаются уникальными после перезагрузки, но они уникальны только на одном компьютере.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:20 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:21 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:22 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 11:53:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2abc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 11:53:24 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2abc Имя процесса: C:\Windows\System32\svchost.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:30 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:32 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:33 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:34 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:53:34 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:53:39 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:53:39 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Failure | 12544 | 2020-02-23 11:54:13 | | Microsoft-Windows-Security-Auditing | 4625: Учетной записи не удалось выполнить вход в систему. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Код входа: 0x8e10c09 Тип входа: 2 Учетная запись, которой не удалось выполнить вход: ИД безопасности: S-1-0-0 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения об ошибке: Причина ошибки: %%2313 Состояние: 0xc000006e Подсостояние: 0xc000006e Сведения о процессе: Идентификатор процесса вызывающей стороны: 0x1228 Имя процесса вызывающей стороны: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe Сведения о сети: Имя рабочей станции: DESKTOP-PLI6Q7L Сетевой адрес источника: - Порт источника: - Сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при неудачной попытке входа. Оно регистрируется на компьютере, попытка доступа к которому была выполнена. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например, служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Наиболее распространенными являются типы 2 (интерактивный) и 3 (сетевой). В полях "Сведения о процессе" указано, какая учетная запись и процесс в системе выполнили запрос на вход. Поля "Сведения о сети" указывают на источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - Поле "Длина ключа" содержит длину созданного сеансового ключа. Это поле может иметь значение "0", если сеансовый ключ не запрашивался.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:13 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x1228 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f80 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f80 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f80 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f80 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f80 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:54:15 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2f80 Имя процесса: C:\Windows\ImmersiveControlPanel\SystemSettings.exe
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:54:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:54:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:55:32 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:55:32 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:56:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 11:56:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 11:56:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:57:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:57:48 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8099 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 11:57:48 | | Microsoft-Windows-Security-Auditing | 5381: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Это событие возникает, когда пользователь перечисляет сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:03:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:03:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Идентификатор входа: 0x8e10c09 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:16 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 5379: Учетные данные диспетчера учетных данных прочитаны. Субъект: Идентификатор безопасности: S-1-5-20 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e4 Операция чтения: %%8100 Это событие возникает, когда пользователь выполняет операцию чтения сохраненных учетных данных в диспетчере учетных данных.
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 12:03:17 | | Microsoft-Windows-Security-Auditing | 5382: Учетные денные были прочитаны. Предмет: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP Идентификатор входа: 0x3e7 Это событие возникает, когда пользователь читает сохраненные учетные данные хранилища.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:08:20 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:08:20 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:12:48 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:12:48 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:13:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:13:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:26:33 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:26:33 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:33:10 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:33:10 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:33:24 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:33:24 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:44:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:44:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:53:25 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:53:25 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:58:01 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:58:01 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:59:13 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:59:13 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 12:59:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 12:59:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 13:14:54 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 13:14:54 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 13:16:21 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 13:16:21 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 13:29:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12544 | 2020-02-23 13:29:31 | | Microsoft-Windows-Security-Auditing | 4624: Вход в учетную запись выполнен успешно. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: DESKTOP-PLI6Q7L$ Домен учетной записи: WORKGROUP ИД входа: 0x3e7 Сведения о входе: Тип входа: 5 Ограниченный режим администрирования: - Виртуальная учетная запись: %%1843 Расширенный маркер: %%1842 Уровень олицетворения: %%1833 Новый вход: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY ИД входа: 0x3e7 Связанный ИД входа: 0x0 Сетевое имя учетной записи: - Сетевой домен учетной записи: - GUID входа: {00000000-0000-0000-0000-000000000000} Сведения о процессе: ИД процесса: 0x34c Имя процесса: C:\Windows\System32\services.exe Сведения о сети: Имя рабочей станции: - Сетевой адрес источника: - Порт источника: - Подробные сведения о проверке подлинности: Процесс входа: Advapi Пакет проверки подлинности: Negotiate Промежуточные службы: - Имя пакета (только NTLM): - Длина ключа: 0 Данное событие возникает при создании сеанса входа. Оно создается на компьютере, к которому был установлен доступ. Поля "Субъект" указывают на учетную запись локальной системы, запросившую вход. Обычно это служба, например служба "Сервер", или локальный процесс, такой как Winlogon.exe или Services.exe. В поле "Тип входа" указан тип выполненного входа. Самыми распространенными являются типы 2 (интерактивный) и 3 (сетевой). Поля "Новый вход" указывают на учетную запись, для которой создан новый сеанс входа, то есть на учетную запись, в которую выполнен вход. В полях, которые относятся к сети, указан источник запроса на удаленный вход. Имя рабочей станции доступно не всегда, и в некоторых случаях это поле может оставаться незаполненным. Поле "Уровень олицетворения" задает допустимую степень олицетворения для процессов в данном сеансе входа. Поля сведений о проверке подлинности содержат подробные данные о конкретном запросе на вход. - GUID входа — это уникальный идентификатор, который позволяет сопоставить данное событие с событием KDC. - В поле "Промежуточные службы" указано, какие промежуточные службы участвовали в данном запросе на вход. - Поле "Имя пакета" указывает на подпротокол, использованный с протоколами NTLM. - В поле "Длина ключа" указывается длина созданного ключа сеанса. Это поле может иметь значение "0", если ключ сеанса не запрашивался.
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 13:29:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 12548 | 2020-02-23 13:29:31 | | Microsoft-Windows-Security-Auditing | 4672: Новому сеансу входа назначены специальные привилегии. Субъект: ИД безопасности: S-1-5-18 Имя учетной записи: СИСТЕМА Домен учетной записи: NT AUTHORITY Код входа: 0x3e7 Привилегии: SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:34:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2e18 Имя процесса: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:34:29 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x25cc Имя процесса: C:\Windows\explorer.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:34:37 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: DefaultAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:34:37 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: WDAGUtilityAccount Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:34:37 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Администратор Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:34:37 | | Microsoft-Windows-Security-Auditing | 4797: Попытка запроса существования пустого пароля для учетной записи. Тема: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10c09 Дополнительные сведения: Рабочая станция вызывающего пользователя: DESKTOP-PLI6Q7L Имя конечной учетной записи: Гость Домен конечной учетной записи: DESKTOP-PLI6Q7L
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-500 Имя учетной записи: Администратор Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-501 Имя учетной записи: Гость Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-503 Имя учетной записи: DefaultAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-504 Имя учетной записи: WDAGUtilityAccount Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13824 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4798: Перечислено участие пользователя в локальных группах. Subject: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Пользователь: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-568 Имя группы: IIS_IUSRS Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-578 Имя группы: Администраторы Hyper-V Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-544 Имя группы: Администраторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-583 Имя группы: Владельцы устройства Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-546 Имя группы: Гости Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-569 Имя группы: Криптографические операторы Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-551 Имя группы: Операторы архива Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-556 Имя группы: Операторы настройки сети Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-579 Имя группы: Операторы помощи по контролю учетных записей Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-547 Имя группы: Опытные пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-562 Имя группы: Пользователи DCOM Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-559 Имя группы: Пользователи журналов производительности Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-558 Имя группы: Пользователи системного монитора Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-555 Имя группы: Пользователи удаленного рабочего стола Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-580 Имя группы: Пользователи удаленного управления Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-545 Имя группы: Пользователи Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-552 Имя группы: Репликатор Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-581 Имя группы: Управляемая системой группа учетных записей Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Безопасность | Audit Success | 13826 | 2020-02-23 13:35:31 | | Microsoft-Windows-Security-Auditing | 4799: Перечислено участие в защищенных локальных группах. Субъект: ИД безопасности: S-1-5-21-16089801-1463091330-1395838223-1001 Имя учетной записи: Leo Домен учетной записи: DESKTOP-PLI6Q7L ИД входа: 0x8e10be7 Группа: ИД безопасности: S-1-5-32-573 Имя группы: Читатели журнала событий Домен группы: Builtin Сведения о процессе: ИД процесса: 0x2c64 Имя процесса: C:\Program Files (x86)\AIDA64\aida64.exe
|
| | Система | Ошибка | Нет | 2020-02-17 14:15:02 | | Service Control Manager | 7023: Служба "netprofm" завершена из-за ошибки %%21
|
| | Система | Ошибка | Нет | 2020-02-17 14:15:02 | | Service Control Manager | 7023: Служба "iphlpsvc" завершена из-за ошибки %%21
|
| | Система | Внимание | Нет | 2020-02-17 14:15:04 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | 223 | 2020-02-17 14:15:10 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2964 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A2AF&SUBSYS_50071458&REV_00\3&11583659&0&A0.
|
| | Система | Внимание | Нет | 2020-02-17 14:16:37 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-17 15:17:10 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:17:10 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-17 15:17:54 | | Service Control Manager | 7030: Служба "Расширения и уведомления для принтеров" помечена как интерактивная, но в конфигурации системы такие службы не разрешены. Служба может работать неправильно.
|
| | Система | Внимание | Нет | 2020-02-17 15:18:46 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:18:46 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:19:25 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:19:25 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:20:31 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:22:34 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:23:16 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:23:27 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:29:59 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:30:59 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:31:46 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-17 15:35:12 | СИСТЕМА | Microsoft-Windows-Kernel-Boot | 29: Системе не удается произвести запись на устройство.
|
| | Система | Внимание | Нет | 2020-02-17 15:35:17 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Ошибка | Нет | 2020-02-17 15:35:20 | | EventLog | 6008: Предыдущее завершение работы системы в 14:16:45 на ?17.?02.?2020 было неожиданным.
|
| | Система | Внимание | Нет | 2020-02-17 15:35:23 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:35:23 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:35:41 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:36:43 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:37:22 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:37:22 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:37:22 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 15:37:30 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-17 15:37:42 | | Service Control Manager | 7009: Превышение времени ожидания (30000 мс) при ожидании подключения службы "Steam Client Service".
|
| | Система | Ошибка | Нет | 2020-02-17 15:37:42 | | Service Control Manager | 7000: Сбой при запуске службы "Steam Client Service" из-за ошибки %%1053
|
| | Система | Внимание | Нет | 2020-02-17 15:37:43 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 16:24:16 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 16:25:17 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 18:27:16 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | 1014 | 2020-02-17 20:12:15 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени eu.actual.battle.net истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-17 20:12:17 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени geo.prod.do.dsp.mp.microsoft.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-17 20:12:18 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени r5---sn-3c27sn7e.googlevideo.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-17 20:12:26 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени telemetry-in.battle.net истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | Нет | 2020-02-17 20:18:50 | LOCAL SERVICE | Microsoft-Windows-WHEA-Logger | 19: Произошла устраненная аппаратная ошибка. Сообщивший компонент: ядро процессора Источник ошибки: 1 Тип ошибки: 9 ИД APIC процессора: 4 Дополнительные сведения содержатся в подробностях этой записи.
|
| | Система | Внимание | Нет | 2020-02-17 20:45:29 | LOCAL SERVICE | Microsoft-Windows-WHEA-Logger | 19: Произошла устраненная аппаратная ошибка. Сообщивший компонент: ядро процессора Источник ошибки: 1 Тип ошибки: 9 ИД APIC процессора: 2 Дополнительные сведения содержатся в подробностях этой записи.
|
| | Система | Ошибка | Нет | 2020-02-17 21:07:29 | | volmgr | 161: Не удалось создать файл дампа из-за ошибки при создании дампа.
|
| | Система | Внимание | Нет | 2020-02-17 21:07:30 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Ошибка | Нет | 2020-02-17 21:07:33 | | EventLog | 6008: Предыдущее завершение работы системы в 20:55:20 на ?17.?02.?2020 было неожиданным.
|
| | Система | Внимание | Нет | 2020-02-17 21:07:35 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:07:35 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-17 21:07:40 | | BugCheck | 1001: Компьютер был перезагружен после критической ошибки. Код ошибки: 0x0000000a (0x0000000000000002, 0x00000000000000ff, 0x00000000000000a4, 0xfffff80267021446). Дамп памяти сохранен в: C:\Windows\MEMORY.DMP. Код отчета: d482660e-6ed4-4dc6-b2d8-e71dd9b9bea7.
|
| | Система | Внимание | Нет | 2020-02-17 21:07:50 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:07:53 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:09:35 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:09:35 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:09:35 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:11:50 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 21:15:44 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-17 23:28:07 | | volmgr | 161: Не удалось создать файл дампа из-за ошибки при создании дампа.
|
| | Система | Внимание | Нет | 2020-02-17 23:28:09 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Ошибка | Нет | 2020-02-17 23:28:11 | | EventLog | 6008: Предыдущее завершение работы системы в 23:07:33 на ?17.?02.?2020 было неожиданным.
|
| | Система | Внимание | Нет | 2020-02-17 23:28:13 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 23:28:13 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-17 23:28:19 | | BugCheck | 1001: Компьютер был перезагружен после критической ошибки. Код ошибки: 0x00000124 (0x0000000000000000, 0xffffcd8fb7886028, 0x00000000b2000000, 0x0000000000030005). Дамп памяти сохранен в: C:\Windows\MEMORY.DMP. Код отчета: e6073ebc-ce20-4c36-94b1-82d6b221f47f.
|
| | Система | Внимание | Нет | 2020-02-17 23:28:29 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 23:28:32 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 23:30:18 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 23:30:18 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 23:30:18 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-17 23:39:38 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | 1 | 2020-02-18 00:08:56 | СИСТЕМА | Microsoft-Windows-WindowsUpdateClient | 20: Ошибка установки: не удается установить следующее обновление из-за ошибки 0x80073d02: 9NZKPSTSNW4P-Microsoft.XboxGamingOverlay.
|
| | Система | Внимание | Нет | 2020-02-18 00:24:25 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-18 00:59:38 | | Service Control Manager | 7009: Превышение времени ожидания (30000 мс) при ожидании подключения службы "BcastDVRUserService_44491".
|
| | Система | Ошибка | Нет | 2020-02-18 00:59:38 | | Service Control Manager | 7000: Сбой при запуске службы "BcastDVRUserService_44491" из-за ошибки %%1053
|
| | Система | Ошибка | Нет | 2020-02-18 00:59:38 | Leo | DCOM | 10005: Произошла ошибка DCOM "1053" при попытке запуска службы BcastDVRUserService_44491 с аргументами "Недоступно" для запуска сервера: Windows.Media.Capture.Internal.AppCaptureShell
|
| | Система | Внимание | Нет | 2020-02-18 11:52:14 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-18 11:52:15 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 11:52:15 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 11:52:26 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 11:52:32 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 11:52:57 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 15:36:25 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 15:36:41 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 16:12:05 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 18:21:05 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-18 19:05:22 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-18 21:47:29 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-18 21:48:07 | | HidBth | 4: Ошибка при начальном подключении к Bluetooth HID-устройству "?". Это устройство было удалено из списка личных или парных устройств. Необходимо переустановить это устройство.
|
| | Система | Внимание | Нет | 2020-02-18 21:48:09 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-18 21:48:54 | | HidBth | 4: Ошибка при начальном подключении к Bluetooth HID-устройству "?". Это устройство было удалено из списка личных или парных устройств. Необходимо переустановить это устройство.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | | Service Control Manager | 7009: Превышение времени ожидания (30000 мс) при ожидании подключения службы "Пользовательская служба DVR для игр и трансляции_1b29670".
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | | Service Control Manager | 7000: Сбой при запуске службы "Пользовательская служба DVR для игр и трансляции_1b29670" из-за ошибки %%1053
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10005: Произошла ошибка DCOM "1053" при попытке запуска службы BcastDVRUserService_1b29670 с аргументами "Недоступно" для запуска сервера: Windows.Media.Capture.Internal.AppCaptureShell
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Ошибка | Нет | 2020-02-19 00:15:27 | Leo | DCOM | 10010: Регистрация сервера {AB8902B4-09CA-4BB6-B78D-A8F59079A8D5} DCOM не выполнена за отведенное время ожидания.
|
| | Система | Внимание | Нет | 2020-02-19 11:33:15 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-19 11:33:15 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 11:33:15 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 11:33:31 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 11:33:34 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 11:34:29 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 17:56:50 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-19 22:42:32 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-19 23:05:12 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:05:46 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-19 23:06:27 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:06:27 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:06:42 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:06:46 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:07:13 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:08:31 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:08:31 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:08:31 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:15:01 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:19:40 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:20:18 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-19 23:20:59 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:20:59 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:21:13 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:21:17 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:23:03 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:23:03 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:23:03 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:35:20 | LOCAL SERVICE | Microsoft-Windows-WHEA-Logger | 19: Произошла устраненная аппаратная ошибка. Сообщивший компонент: ядро процессора Источник ошибки: 1 Тип ошибки: 9 ИД APIC процессора: 2 Дополнительные сведения содержатся в подробностях этой записи.
|
| | Система | Внимание | Нет | 2020-02-19 23:50:19 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Ошибка | Нет | 2020-02-19 23:50:21 | | EventLog | 6008: Предыдущее завершение работы системы в 23:20:21 на ?19.?02.?2020 было неожиданным.
|
| | Система | Внимание | Нет | 2020-02-19 23:50:23 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:50:23 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:50:39 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:50:44 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:52:27 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:52:27 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-19 23:52:27 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:19:33 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-20 00:19:37 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID {7022A3B3-D004-4F52-AF11-E9E987FEE25F} и APPID {ADA41B3C-C6FD-4A08-8CC1-D6EFDE67BE7D} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:19:37 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:19:37 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:19:52 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:19:54 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:21:39 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:21:41 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:21:41 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:21:41 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:38:57 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:41:37 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 00:42:39 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 11:01:47 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-20 11:01:48 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 11:01:48 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 11:02:03 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 11:02:06 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 11:14:40 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:14:20 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-20 12:14:25 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:14:25 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:14:40 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:14:43 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | 1014 | 2020-02-20 12:14:53 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени darkreader.org истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | Нет | 2020-02-20 12:16:30 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:16:30 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:16:30 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:16:59 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:25:45 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение System с ИД процесса 4 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 416 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\smss.exe с ИД процесса 448 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 480 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 592 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 612 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\fontdrvhost.exe с ИД процесса 628 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 668 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\csrss.exe с ИД процесса 676 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\fontdrvhost.exe с ИД процесса 700 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\wininit.exe с ИД процесса 764 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\csrss.exe с ИД процесса 772 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\services.exe с ИД процесса 836 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\lsass.exe с ИД процесса 844 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\winlogon.exe с ИД процесса 928 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\SearchFilterHost.exe с ИД процесса 956 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1044 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1096 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\dwm.exe с ИД процесса 1156 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RtkAudUService64.exe с ИД процесса 1264 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 1308 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1320 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1340 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1348 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1356 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1364 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1372 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 1428 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1488 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1500 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1520 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1564 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1612 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1728 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1736 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1824 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1832 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1864 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\DriverStore\FileRepository\nv_dispi.inf_amd64_90685a092bcf58c7\Display.NvContainer\NVDisplay.Container.exe с ИД процесса 1936 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 1944 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2016 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2056 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2164 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2220 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2252 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2312 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2320 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2328 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2344 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2352 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2516 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2600 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2612 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2700 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\DriverStore\FileRepository\nv_dispi.inf_amd64_90685a092bcf58c7\Display.NvContainer\NVDisplay.Container.exe с ИД процесса 2784 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2888 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2916 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\VSSVC.exe с ИД процесса 2956 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2968 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 2976 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3040 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\SgrmBroker.exe с ИД процесса 3056 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\spoolsv.exe с ИД процесса 3160 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3200 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3296 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Users\Leo\AppData\Local\Microsoft\OneDrive\OneDrive.exe с ИД процесса 3480 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3500 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3508 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3516 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3524 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3536 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3544 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3552 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3560 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RtkAudUService64.exe с ИД процесса 3612 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\ProgramData\Microsoft\Windows Defender\Platform\4.18.1911.3-0\MsMpEng.exe с ИД процесса 3688 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Origin\OriginWebHelperService.exe с ИД процесса 3732 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3780 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3812 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3852 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 3892 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\smartscreen.exe с ИД процесса 4180 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4456 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4540 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\wbem\unsecapp.exe с ИД процесса 4552 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4556 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\sihost.exe с ИД процесса 4680 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4712 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\drvinst.exe с ИД процесса 4752 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4780 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\taskhostw.exe с ИД процесса 4868 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4944 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4980 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 4992 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\ctfmon.exe с ИД процесса 5052 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 5152 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 5284 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\explorer.exe с ИД процесса 5428 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files\WindowsApps\Microsoft.YourPhone_1.19123.13.0_x64__8wekyb3d8bbwe\YourPhone.exe с ИД процесса 5564 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 5580 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\ProgramData\Microsoft\Windows Defender\Platform\4.18.1911.3-0\NisSrv.exe с ИД процесса 5740 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 5748 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\SystemApps\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\StartMenuExperienceHost.exe с ИД процесса 5864 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\IObit\Driver Booster\7.2.0\DriverBooster.exe с ИД процесса 5868 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 6280 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\SecurityHealthSystray.exe с ИД процесса 6348 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\SearchProtocolHost.exe с ИД процесса 6420 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe с ИД процесса 6440 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 6704 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\SearchIndexer.exe с ИД процесса 6744 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\CompPkgSrv.exe с ИД процесса 6940 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 6992 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files\WindowsApps\Microsoft.SkypeApp_14.56.102.0_x64__kzf8qxf38zg5c\SkypeApp.exe с ИД процесса 7052 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 7092 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 7112 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 7128 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 7572 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 7604 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\SecurityHealthService.exe с ИД процесса 7688 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 7692 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 7732 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\wbem\WmiPrvSE.exe с ИД процесса 7884 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 7968 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 7992 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files\WindowsApps\Microsoft.SkypeApp_14.56.102.0_x64__kzf8qxf38zg5c\SkypeBackgroundHost.exe с ИД процесса 8032 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 8048 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 8112 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 8232 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 8240 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 8248 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 8276 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 8888 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\Steam.exe с ИД процесса 8960 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 9052 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Common Files\Steam\SteamService.exe с ИД процесса 9104 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 9136 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 9252 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 9308 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 9364 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 9432 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\audiodg.exe с ИД процесса 9724 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 9788 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Skillbrains\lightshot\5.5.0.4\Lightshot.exe с ИД процесса 9792 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\SystemApps\ShellExperienceHost_cw5n1h2txyewy\ShellExperienceHost.exe с ИД процесса 9836 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\msiexec.exe с ИД процесса 10132 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 10188 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 10200 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe с ИД процесса 10216 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\wbem\WmiPrvSE.exe с ИД процесса 10236 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 10332 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 10368 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\dllhost.exe с ИД процесса 10380 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\Google\Chrome\Application\chrome.exe с ИД процесса 10564 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\ApplicationFrameHost.exe с ИД процесса 10628 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files\WindowsApps\Microsoft.WindowsStore_12002.1001.1.0_x64__8wekyb3d8bbwe\WinStore.App.exe с ИД процесса 10664 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\svchost.exe с ИД процесса 10736 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Windows\System32\RuntimeBroker.exe с ИД процесса 10948 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | 223 | 2020-02-20 12:26:22 | СИСТЕМА | Microsoft-Windows-Kernel-PnP | 225: Приложение \Device\HarddiskVolume5\Program Files (x86)\IObit\Driver Booster\7.2.0\DrvInstall\DpInstX64.exe с ИД процесса 11064 остановило удаление или извлечение для устройства PCI\VEN_8086&DEV_A282&SUBSYS_B0051458&REV_00\3&11583659&0&B8.
|
| | Система | Внимание | Нет | 2020-02-20 12:27:57 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:28:45 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-20 12:28:50 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:28:50 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:29:06 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:29:09 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:30:54 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:30:54 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:30:54 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:58:31 | LOCAL SERVICE | Microsoft-Windows-WHEA-Logger | 19: Произошла устраненная аппаратная ошибка. Сообщивший компонент: ядро процессора Источник ошибки: 1 Тип ошибки: 9 ИД APIC процессора: 2 Дополнительные сведения содержатся в подробностях этой записи.
|
| | Система | Внимание | Нет | 2020-02-20 12:59:33 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Ошибка | Нет | 2020-02-20 12:59:35 | | EventLog | 6008: Предыдущее завершение работы системы в 12:28:48 на ?20.?02.?2020 было неожиданным.
|
| | Система | Внимание | Нет | 2020-02-20 12:59:38 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:59:38 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:59:54 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 12:59:57 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:01:43 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:01:43 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:01:43 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:03:52 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:41:41 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-20 13:41:42 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:41:42 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:41:45 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:41:57 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:42:01 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 13:42:02 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-20 14:02:29 | | volmgr | 161: Не удалось создать файл дампа из-за ошибки при создании дампа.
|
| | Система | Внимание | Нет | 2020-02-20 14:02:31 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Ошибка | Нет | 2020-02-20 14:02:33 | | EventLog | 6008: Предыдущее завершение работы системы в 13:53:02 на ?20.?02.?2020 было неожиданным.
|
| | Система | Внимание | Нет | 2020-02-20 14:02:35 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:02:35 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-20 14:02:41 | | BugCheck | 1001: Компьютер был перезагружен после критической ошибки. Код ошибки: 0x00000124 (0x0000000000000000, 0xffffa70829ec1028, 0x00000000be000000, 0x0000000000800400). Дамп памяти сохранен в: C:\Windows\MEMORY.DMP. Код отчета: 93e35b51-241e-4aef-8bf6-87bd02cc07a9.
|
| | Система | Внимание | Нет | 2020-02-20 14:02:50 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:02:55 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:03:55 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:04:40 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:04:40 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:04:40 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-20 14:14:08 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 11:05:57 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-21 11:05:57 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 11:05:57 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 11:06:12 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 11:06:15 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 11:19:35 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Ошибка | Нет | 2020-02-21 14:10:33 | Leo | DCOM | 10010: Регистрация сервера Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy!App DCOM не выполнена за отведенное время ожидания.
|
| | Система | Внимание | Нет | 2020-02-21 14:10:59 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-21 14:11:03 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 14:11:03 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 14:11:19 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 14:11:22 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 14:13:07 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.SecurityAppBroker и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 14:13:07 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscBrokerManager и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 14:13:07 | СИСТЕМА | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Запуск для приложения COM-сервера с CLSID Windows.SecurityCenter.WscDataProtection и APPID Недоступно пользователю NT AUTHORITY\СИСТЕМА с ИД безопасности (S-1-5-18) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 15:06:48 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 15:11:00 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-21 15:11:25 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | 1014 | 2020-02-21 20:24:55 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени heartbeat.dm.origin.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-21 20:24:57 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени www.youtube.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-21 20:26:12 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени config.edge.skype.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-21 20:26:14 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени geo.prod.do.dsp.mp.microsoft.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | 1014 | 2020-02-21 20:26:15 | NETWORK SERVICE | Microsoft-Windows-DNS-Client | 1014: Разрешение имен для имени client-download.steampowered.com истекло после отсутствия ответа от настроенных серверов DNS.
|
| | Система | Внимание | Нет | 2020-02-22 11:35:51 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-22 11:35:51 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-22 11:35:51 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-22 11:36:07 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-22 11:36:10 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-22 11:54:09 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-22 23:36:03 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-23 02:19:32 | Leo | DCOM | 10016: Параметры разрешений по умолчанию для компьютера не дают разрешения Локально Активация для приложения COM-сервера с CLSID {C2F03A33-21F5-47FA-B4BB-156362A2F239} и APPID {316CDED5-E4AE-4B15-9113-7055D84DCC97} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Microsoft.Windows.ShellExperienceHost_10.0.18362.449_neutral_neutral_cw5n1h2txyewy с ИД безопасности (S-1-15-2-155514346-2573954481-755741238-1654018636-1233331829-3075935687-2861478708). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-23 11:53:18 | | BTHUSB | 34: Локальный адаптер не поддерживает важное состояние контроллера энергосбережения для поддержки режима периферийного устройства. Минимально необходимая маска поддерживаемого состояния — 0x2491f7fffff, получено 0x1fffffff. Функция роли периферийного устройства низкого энергопотребления не будет доступна.
|
| | Система | Внимание | Нет | 2020-02-23 11:53:18 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-23 11:53:18 | LOCAL SERVICE | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {6B3B8D23-FA8D-40B9-8DBD-B950333E2C52} и APPID {4839DDB7-58C2-48F5-8283-E1D1807D0D7D} пользователю NT AUTHORITY\LOCAL SERVICE с ИД безопасности (S-1-5-19) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-23 11:53:33 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-23 11:53:38 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|
| | Система | Внимание | Нет | 2020-02-23 12:33:24 | Leo | DCOM | 10016: Параметры разрешений для конкретного приложения не дают разрешения Локально Активация для приложения COM-сервера с CLSID {2593F8B9-4EAF-457C-B68A-50F6B8EA6B54} и APPID {15C20B67-12E7-4BB6-92BB-7AFF07997402} пользователю DESKTOP-PLI6Q7L\Leo с ИД безопасности (S-1-5-21-16089801-1463091330-1395838223-1001) и адресом LocalHost (с использованием LRPC), выполняемого в контейнере приложения Недоступно с ИД безопасности (Недоступно). Это разрешение безопасности можно изменить с помощью средства администрирования служб компонентов.
|